关于vsftp被动模式加载ip_conntrack_ftp模块问题

步8785

　　最近在看余洪春老师的《构建高可用Linux服务器》，在看到vsftp那章节时，发现书中关于ftp被动模式的内容跟自己的理解有一些出入，就自己顺带做了把实验，只不过iptables命令是自己手动敲的，没用到书中的脚本，我的iptables如下
写道
iptables -P INPUT DROP
iptables -P OUTPUT\FORWARD ACCEPT

iptables -A INPUT -p tcp -m multiport --dport 21,22 -j ACCEPT

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
 　　由于ftp的被动模式是这样的，客户端跟服务器端的21号端口交互信令，服务器端开启21号端口能够使客户端登录以及查看目录。但是ftp被动模式用于传输数据的端口却不是20，而是大于1024的随机或配置文件里的端口，并且服务器端通过21号端口告诉客户端我要通过>1024的某个端口来发送数据(ftp-data)，客户端得知服务器端这个端口后，再由客户端主动向服务器端的>1024的端口发起tcp连接。
　　
　　问题就来了，如果按上述的iptables脚本，服务器端并没有打开1024以上的端口，客户端主动发起的连接怎么能够穿越防火墙呢？
　　
　　在实验过程中，也证明我的言论，服务器端打开1024以上的端口，客户端就能下载ftp数据，比如加上这条iptables命令
写道
iptables -A INPUT -p tcp --dport 1024: -j ACCEPT
　　
　　如果不加这条命令，客户端只能登录及查看文件目录，点击下载的时候却会超时；
　　
　　在linux服务器实际应用中也不会为了ftp被动模式，而打开1024以上的端口；当然，vsftp配置端口范围又是另外一回事了，这个方法也比较常见。
　　
　　于是，我就认为余洪春老师的书中这部分内容有问题，我赶紧将这第一手实验消息写了封邮件发给余老师的gmail邮箱，一边描述问题一边窃喜，竟然让我发现了如此天机。
　　
　　后来....
　　
　　后来...
　　
　　后来我就悲催了...
　　
　　经过几次的交流之后，显然是我错了，余老师书中的内容完全没有问题。
　　
　　但是问题出在哪呢？
　　
　　出在我不听余老师的话，不用人家的iptables脚本，呵呵。
　　没有注重技术细节！关键在于一条模块加载的命令：modprobe ip_conntrack_ftp
　　执行这条命令后，确实，1024以上的任何端口都不需要开，vsftp的被动模式也可以下载ftp-data。
　　
　　那么，ip_conntrack_ftp 这个模块的作用是神马呢？
　　
　　其实具体作用我也不知道，若哪位高人路过，还恳请详细告知。
　　
　　我只能说谈谈我对这个模块的一点点理解，不想误人子弟
　　
　　由于网上这方面的内容有限，我个人猜测总结如下：
　　
　　1、开启了这个模块，服务器端那边会自动监视拦截客户端与服务器端21号端口建立的连接中的内容，拦截到服务器端需要开启某个端口后，然后iptables在后台会开放这个>1024的端口；
2、加载了这个模块，相当于被动模式中的第二次连接本质上应该是属于服务器端发起的，这也就是state RELATED的作用；
　　
　　
　　后期若弄明白了，在来更新一下。。。