[solved] IPTABLES und FTP

[radium]

Hallo Jungs,

ich bin etwas überfragt und kann leider nicht ganz nachvollziehen wo ich anfangen soll den Fehler zu suchen. Ich habe mir vor einiger zeit mal ein umfangreiches Firewall Skript zusammen gebaut. Bis Debian 8.x funktionierte das auch soweit ohne Beanstandung.

Im moment habe ich auch 2 Linux Server im einsatz. Einmal ein Debian 8 und einmal ein Debian 9. Auf Debian 8 Funktioniert das wenn ich einen download via ftp starten möchte, bei Debian 9 leider nicht mehr. Die iptables regel sah immer so aus.

Code: Alles auswählen

iptables -A OUTPUT -m state --state NEW -p tcp --sport 1024:65535 -m multiport --dports 20,21 -j ACCEPT
ip6tables -A OUTPUT -m state --state NEW -p tcp --sport 1024:65535 -m multiport --dports 20,21 -j ACCEPT

Einen Lösungsansatz habe ich gefunden:

Code: Alles auswählen

# IPv4
iptables -A OUTPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
# IPv6
ip6tables -A OUTPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
ip6tables -A OUTPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
ip6tables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT

Allerdings befriedigt der mich nicht da in diesem Fall z.B. http auf 8080 oder 8443 connecten kann obwohl das nicht explizit erlaubt ist. Deshalb ist das keine Lösung. Gibt es neue Conntrack module?

Geladen habe ich:

nf_conntrack_ipv6 20480 12
nf_defrag_ipv6 36864 1 nf_conntrack_ipv6
nf_conntrack_ipv4 16384 19
nf_defrag_ipv4 16384 1 nf_conntrack_ipv4
nf_conntrack 114688 9 nf_conntrack_ipv6,nf_conntrack_ftp,nf_conntrack_ipv4,nf_nat_ftp,nf_conntrack_netlink,nf_nat_ipv6,xt_conntrack,nf_nat_ipv4,nf_nat

Hat jemand von euch das gleiche Problem?

[radium]

Guten Morgen,

nach längerer suche bin ich doch noch fündig geworden. Ich möchte euch die Lösung nicht vorenthalten.

https://bugs.debian.org/cgi-bin/bugrepo ... bug=870484
https://home.regit.org/netfilter-en/sec ... f-helpers/

Nach dem ich

Code: Alles auswählen

sysctl -w net.netfilter.nf_conntrack_helper=1

gesetzt habe funktionieren die downloads via ftp wieder wie gewohnt.