vsftpd e iptables

[tinchevrig]

Ho da poco installato vsftpd e funziona... senza firewall.... !! eh sì, perché quando attivo iptables non funza più. Allora, se, a firewall disattivato, faccio ftp localhost e, dopo essermi loggato, dò un comando tipo ls, il comando funziona normalmente; mentre se faccio la stessa cosa con iptables attivato, la risposta al comando è:
<BR>
<BR>227 Entering Passive Mode (127,0,0,1,37,99)
<BR>ftp: connect: No route to host
<BR>.... cosa significa? no route to host....
<BR>
<BR>Ecco la mia conf di iptables:
<BR>
<BR>*filter
<BR>:INPUT DROP [0:0]
<BR>:FORWARD DROP [0:0]
<BR>:OUTPUT ACCEPT [0:0]
<BR>-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
<BR>-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
<BR>-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
<BR>-A INPUT -j REJECT --reject-with icmp-host-prohibited
<BR>
<BR>addirittura se elimino l´ultima linea, dopo l´"entering passive mode" non succede niente, e si impalla... boh.. spero possiate aiutarmi saluti!
<BR>
<BR> - TINChEVRIG<br>

[rob]

no route to host di solito è un errore che viene fuori quando non si riescono a trovare interfacce di rete... nel tuo caso sembra che il tuo sistema non trovi neanche quella di loopback
<BR>posta il risultato di route
<BR>
<BR>ciao, rob<br>

[rob]

a, dimenticavo, posta pure un ifconfig -a
<BR>
<BR>rob<br>

[tinchevrig]

Ho messo su linux poche settimane fa, quindi spero di avere fatto tutto nel modo giusto; comunque:
<BR>
<BR> # route
<BR>Kernel IP routing table
<BR>Destination Gateway Genmask Flags Metric Ref Use Iface
<BR>192.168.100.1 * 255.255.255.255 UH 0 0 0 ppp0
<BR>169.254.0.0 * 255.255.0.0 U 0 0 0 lo
<BR>default 192.168.100.1 0.0.0.0 UG 0 0 0 ppp0
<BR>------------------------------------
<BR># ifconfig -a
<BR>lo Link encap:Local Loopback
<BR> inet addr:127.0.0.1 Mask:255.0.0.0
<BR> inet6 addr: ::1/128 Scope:Host
<BR> UP LOOPBACK RUNNING MTU:16436 Metric:1
<BR> RX packets:24 errors:0 dropped:0 overruns:0 frame:0
<BR> TX packets:24 errors:0 dropped:0 overruns:0 carrier:0
<BR> collisions:0 txqueuelen:0
<BR> RX bytes:1776 (1.7 KiB) TX bytes:1776 (1.7 KiB)
<BR>
<BR>ppp0 Link encap:Point-to-Point Protocol
<BR> inet addr:82.55.88.160 P-t-P:192.168.100.1 Mask:255.255.255.255
<BR> UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
<BR> RX packets:646 errors:0 dropped:0 overruns:0 frame:0
<BR> TX packets:571 errors:0 dropped:0 overruns:0 carrier:0
<BR> collisions:0 txqueuelen:3
<BR> RX bytes:600160 (586.0 KiB) TX bytes:172456 (168.4 KiB)
<BR>
<BR>sit0 Link encap:IPv6-in-IPv4
<BR> NOARP MTU:1480 Metric:1
<BR> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
<BR> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
<BR> collisions:0 txqueuelen:0
<BR> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
<BR>--------------------------
<BR>che dici? <br>

[rob]

dico poco...
<BR>mi resta da pensare che sia una questione proprio di iptables, che ti chiude talmente tanto da non farti vedere la rete fuori... purtroppo sono un ignorante riguardo iptables, non posso aiutarti...
<BR>
<BR>mi dispiace, rob<br>

[tinchevrig]

il fatto è che il server apache funziona alla perfezione. ho provato anche con telnet e funziona uguale... grazie comunque dell´aiuto ;D ciao!!<br>

[Bart]

Ciao,
<BR>solo per provare a questa riga prova ad aggiungerci NEW:
<BR>
<BR>-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
<BR>
<BR>in modo che diventi
<BR>
<BR>-A INPUT -m state --state RELATED,ESTABLISHED,NEW -j ACCEPT <br>

[Bart]

Se non funziona togli NEW e riportalo come prima. comunque il fatto che senza firewall faccia mi porta a pensare che sia proprio un problema dovuto ad esso.
<BR>Prova add aggiungergli il comando che ti permette il traffico tramite interfaccia locale:
<BR>-A INPUT -i lo -j ACCEPT
<BR>Perchè senza di esso se provi in locale lui te lo droppa.
<BR>
<BR>Dimenticavo. L´ordine è fondamentale: metti tale riga sopra:
<BR>-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
<BR>Ciao<BR><BR>[ Questo Messaggio è stato Modificato da: Bart il 28-01-2005 19:59 ]<br>

[useless]

controlla che sia caricato il modulo ip_conntrack_ftp con lsmod. in caso negativo caricalo: modprobe ip_conntrack_ftp.
<BR>
<BR>è una buona idea lasciare passare tutto il traffico in & out sull´interfaccia lo comunque.<br>

[tinchevrig]

grazie mille per l´aiuto, ora funziona tutto piu´ che bene saluti!<br>