iptables和FTP的pasv模式

23421

Linux里面自带的防火墙iptables一般就是端口开启，对于FTP协议里的PASV（被动）模式，有2次连接，这第二次连接似乎和第一次的21端口没啥关联，21端口连接的是通信控制，第二次连接的才是数据通信，比如说，login进去后，无法看见列表就是这个原因。这第二次连接的端口是动态的，无法配置iptables。如果使用FTP服务软件的配置，强制固定数据端口，然后在iptables里面加上，就显得非常低能。我们知道智能防火墙是可以跟踪这个动态端口的。iptables会不会智能一些？

FTP协议里的Passive模式（略写为PASV被动模式）和主动模式的区别。
第一步，由客户端连接到服务器，一般默认使用21端口，这个端口用来传送控制信息。进行用户名和密码身份验证。这一步无论是主动和被动都是一样的。
第二部，主动模式：从服务器端发起数据通信请求到客户端，以源端口20，目的端口随机。这种情况，服务器端对于防火墙的配置到时不需要智能对应了，但是客户端就麻烦了，特别是客户端在NAT后的情况，往往无法顺利接通。这种方式基本上已经被淘汰了，但是微软的ftp命令还是采用主动模式，好在用的也不多。
被动模式：身份验证后，可能使用pwd命令，显示自己的位置，这个命令依然使用控制端口21完成，但是当需要进行文件夹列表的时候，因为这个数据量比较大，就要通过数据端口传送了。这时候客户端就会发出PASV命令，告知服务器使用被动模式以及一串数字，例如：(172,26,136,8,126,17)，前面的4段，172.26.136.8，是服务器的IP地址，后面的126和17通过运算就是数据动态连接的端口，运算方法是126*256+17=32273。

这样来说，只要掌握这个规律，动态开启防火墙的端口也不是什么难事。
监视PASV命令的工作，iptables无法完成，必须要加载组件。
lsmod | grep ftp
看看是否已经加载，一般不通，肯定是没有加载。
有很多地方非常笼统的加载
modprobe ip_nat_ftp
这样是不精确的。可以是可以，但是加载多了，其实只需要加载nf_conntrack_ftp，就可以。
你可以手动加载
modprobe nf_conntrack_ftp
但是重启服务器就没了，这样对于维护者来说是很麻烦的。有的人说用自动执行命令，这样就落了下乘了。因为iptables本身就有加载的项目。
编辑 /etc/sysconfig/iptables-config
IPTABLES_MODULES="nf_conntrack_ftp"
默认是IPTABLES_MODULES=""，内容是空的。

最容易忽视又关键的说完了，下面当然是编写iptables的过滤条目了。
iptables -A INPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT
就这么简单啊，要追加一定要在最后一条禁止所有的前面哦。所以最好显示一下列表号
iptables -L -n -v --line-numbers
然后用
iptables -I INPUT 5 -m state --state NEW -p tcp --dport 21 -j ACCEPT
插到最后一条前面。
等等，很多地方肯定说要追加
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
的说法，其实大可不必了，除非你删除了所有的条目，一般默认第一条就是
1    ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
关键是 RELATED，关系，就是从ip_conntrack_ftp那儿监视来的动态端口这个关系。ESTABLISHED是TCP3次握手里的ack和syn位的确认，和RELATED是没关系。

本例在Linux kernel2.6.32-573.7.1.el6.x86_64通过测试，也是centos6.7