Iptables vs. vsftp

[JohnDoe42]

Hallo Gemeinde,

nachdem ich sowohl iptables als auch vsftp auf meiner Box (7170 Fon WLAN, Freetz stable 1.1.3) laufen hab', möchte ich jetzt noch eine iptables-Regel für den Zugriff auf den vsftp hinzufügen.
Allerdins schlägt alles á la (stumpfes)

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT

oder

iptables -A INPUT -p tcp --dport 1024:65535 --sport 21 ! --syn -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 21 ! --syn -j ACCEPT

und für passives FTP

iptables -A INPUT -p tcp --dport 1024:65535 --sport 1024:65535 ! --syn -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT

fehl ..

Hat jemand ggfs. diese Kombination im Einsatz und könnte mir mit einem Tip weiterhelfen ?
Als FTP-Ordner nutze ich einen Ordner am angesteckerten USB-Stick. Ohne laufende iptables klappt der Zugriff wunderbar, sowohl aus dem lokalen als auch aus dem I-Net.
Grüße,

JD.

 

[sf3978]

... Ohne laufende iptables klappt der Zugriff wunderbar, sowohl aus dem lokalen als auch aus dem I-Net.

Versuch mal iptables so zu konfigurieren, dass Du den funktionierenden Zugriff aus dem lokalen und I-Net, nur loggen tust (d. h. kein ACCEPT, kein DROP, kein REJECT, etc.). Und schau dir dann mal im Log die aufgezeichneten Verbindungen an.

 

[RalfFriedl]

Was genau sind Deine Regeln (nicht nur Auszugsweise), und was sollen diese Regeln Deiner Meinung nach tun?
Außerdem, was genau schlägt fehl? Kontroll-Verbindung, Daten-Verbindung aktiv, Daten-Verbindung passiv?

 

[JohnDoe42]

Okay, hat sich vermutlich erst mal erledigt, nachdem ich das Modul ip_conntrack_ftp händisch nachgeladen hatte. In Verbindung mit 'nem simplen

iptables -A INPUT -p tcp -m  state --state NEW --dport 21 -j ACCEPT

lief dann alles (auch mit letzter Regel in der INPUT-Chain

iptables -A INPUT -j DROP

Jetzt muß ich mal abwarten, wie stabil das conntrack-MOdul wirklich läuft ... Wenn 's zu vermehrten Reboots der Box führt, werde ich 's wohl 'rausnehmen und mir für FTP was Anderes überlegen.
Grüße,

JD.