web-dev-qa-db-ja.com

vsftpdのセットアップ、listコマンドでハングアップする

Vsftpdをインストールして構成しました。 Transmitを使用してFTPサーバーに接続しようとすると、接続に成功しましたが、リスト "/"でハングします。

次に、「/」のファイルリストを取得できませんでしたというメッセージが表示されます。制御接続がタイムアウトしました。

それは私のiptablesと関係がありますか？私のルールは次のとおりです。

*filter


#  Allows all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT


#  Accepts all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


#  Allows all outbound traffic
#  You can modify this to only allow certain traffic
-A OUTPUT -j ACCEPT


# Allows HTTP and HTTPS connections from anywhere (the normal ports for websites)
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT


#  Allows SSH connections
#
# THE -dport NUMBER IS THE SAME ONE YOU SET UP IN THE SSHD_CONFIG FILE
#
-A INPUT -p tcp -m state --state NEW --dport 30000 -j ACCEPT


# Allow ping
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT


# log iptables denied calls
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7


# Reject all other inbound - default deny unless explicitly allowed policy
-A INPUT -j REJECT
-A FORWARD -j REJECT

COMMIT
ftpubuntu-10.04vsftpd
7
user57194

サーバーのiptables設定は（直接）問題ではありません。ほとんどの場合、サーバーのFTPデータ接続がクライアントコンピューターに到達できないようにブロックされています。デフォルトでは、FTPはいわゆる「アクティブ」モードを使用します。これにより、サーバーは実際にクライアントへのデータ接続を開こうとします。コンシューマーNATルーターは通常これをブロックし、あなたが指摘した接続タイムアウトにつながります。

「パッシブ」モードを使用するようにFTPクライアントを設定すると、機能するはずです。そうでない場合は、nf_conntrack_ftpカーネルモジュール（古いカーネルではip_conntrack_ftpと呼ばれます）がサーバーにロードされていることを確認します。

Sudo lsmod | grep conntrack_ftp

上記のコマンドが何も返さない場合、モジュールはロードされていないため、次のようにロードする必要があります。

Sudo modprobe nf_conntrack_ftp

また、nf_conntrack_ftpを/etc/modulesに入れて、モジュールが起動時に読み込まれるようにする必要があります。

nf_conntrack_ftpカーネルモジュールは、サーバー上のFTP接続の状態を追跡します。これにより、クライアントコンピューターからの「パッシブ」モード接続が、INPUTチェーンのRELATED状態ルールによって受け入れられるようになります。

5
Steven Monday

まず、vsftpdがアクティブモードとパッシブモードの両方で一意のポートにロックダウンされていることを確認します。

ftp_data_port=20
listen_port=21
pasv_min_port=64000
pasv_max_port=64321

Iptablesを変更して、これらのポートがルールを通過できることを確認し、設定する必要があります。デフォルトでは、パッシブポートはランダムです。上記を設定してiptablesを修正することで、「二重ファイアウォールの問題」を解決し、クライアントがどこからでも作業できるようにします。

2
user15590

私はiptablesをしていませんが、あなたが示しているルールセットから、FTPがどのように機能するかについてもう少し学ぶ必要があることは明らかです。

FTPは、制御ポートとデータポートを備えているという点で「奇妙な」サービスです。制御ポートだけであるポート21だけを開くだけでは十分ではありません。データポートは、アクティブまたはパッシブのftp転送を使用しているかどうかによって異なります。

Iptablesがどのように機能するかはわかりませんが、ルールセットを拡張して、ftp-dataのポート20のトラフィックも受け入れることができるようにする必要があります（標準のftpポート転送を使用する場合）

それ以外の場合は、パッシブデータ転送で動作するようにパケットフィルターを構成し、その形式の通信/データ転送も使用するようにクライアントに指示する必要があります。

このサイトは便利です： http://www.mdjnet.dk/ftp.html

1
sandroid

ESTABLISHED、RELATEDの出力に関するルールがないと、ポート20ftp-dataがデータを返すことはできません。

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m conntrack --ctstate NEW -j ACCEPT
0
Prix