Исходное сообщение
"Подсчет ftp трафика с помощью iptables" Отправлено tux2002, 18-Ноя-09 13:43
>[оверквотинг удален] >С активным режимом проблем вроде нет > ># iptables -N FTP-ACTIVE ># iptables -A FORWARD -p tcp --sport 21 -j FTP-ACTIVE ># iptables -A FORWARD -p tcp --dport 21 -j FTP-ACTIVE ># iptables -A FORWARD -p tcp --sport 20 -j FTP-ACTIVE ># iptables -A FORWARD -p tcp --dport 20 -j FTP-ACTIVE > >А вот как быть с пассивным? Вроде можно с помощью модуля ip_conntrack_ftp, >но не пойму как. Конкретно на вопрос я ответа не знаю, но по правилам могу сказать что Вы немножко по BSD like мыслите не забываем modprobe iptables -A FORWARD -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT покрывает начало соединения iptables -A FORWARD -p tcp --sport 20 -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT покрывают активный режим iptables -A FORWARD -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT покрывает много чего в том числе и пассивный режим, если используется совместно с предыдущим правилом, то активный трафик как бы уже учтён. Может использоваться без предыдущего правила как более широкое. Понятно что RELATED может быть для многих протоколов, но с пассивным режимом оба порта клиента и сервера не угадаешь ;)