Vlákno názorů k článku
Stavíme firewall (1)

Omlouvam se za smesny dotaz, ale pri pokusu pripojit se FTP klientem z nejake stanice pres takto nastaveny firewall mi pise klient illegal port command. Vite prosim, jak toto odstranit. Dekuji.

Zavedte modul ip_conntrack_ftp a povolte prichozi ESTABLISHED a RELATED konexe na INPUTu, resp. FORWARDu.

Podivejte se do http://www.petricek.cz/mpfw/mpfw.sh.txt nebo pockejte na treti dil tohoto clanku ve kterem je problematika aktivniho/pasivniho rezimu rozebrana podrobneji.

A opet blby dotaz. Jak toto udelat na bezmodulovem jadru? Myslel jsem, ze je bezpecnejsi? :-)

Přikompilovat CONFIG_IP_NF_FTP do jádra.

BTW: bezmodulové jádro NENÍ bezpečnější.

sorry za offtopic, ale vazne by me zajimalo, proc $BTW ?

diky
0ndrej

Moduly do jadra muze zavadet pouze root. Kdyz
uz je nekdo root, muze vam s pocitacem delat
mnohem horsi veci nez jen zavadet zakerne
moduly (muze treba prepsat kod jadra pres /proc/kcore,
nebo treba si zkompilovat vlastni kernel.

No, rekl bych ze zakazani modulu v jadre muze dotycnemu praci trochu zneprijemnit (a napriklad zabranit hromadnemu hacku), ale myslim ze to nestoji za tu praci ...

Pouze ip_conntrack_ftp nestačí.
Ještě chybí zavést ip_nat_ftp pro rozumnou práci s ftp.