https://opennet.ru/openforum/vsluhforumID3/4247.html Необходимо выпустить пользователей на ftp сайты из локальной сети, но при этом не устанавливая <br>дополнительного ПО, используя только возможности FreeBSD 4.10.<br>Этими возможностями, как ни странно, оказались ipfw и natd <br>вот собственно как все это прописывается.<br><br>Исходные данные, FreeBSD 4.10 + настроенный nat правила для ipfw <br> ipfw -q add 100 divert natd from 192.168.20.0/24 to any 20, 21 out via $oif <br> ipfw -q add 200 divert natd from any 20, 21 to $iip in via $oif <br> ipfw -q add 300 allow tcp from any to any established <br> ipfw -q add 400 allow tcp from any to any setup <br>где $oif и $iip соответственно внешний интерфейс и внешний IP <br><br>теперь запускаем natd <br> /sbin/natd -m -s -u -punch_fw 500:200 -n xl1<br><br>заострю внимание на параметре "-punch_fw" -этот параметр создает в фаерволе "ходы", <br>добавляя динамические правила. В моем случае эти правила начнутся с номера 500 и будет их добавлено <br>максимум 200 (понятно чем больше сеть, те больше нужно правил).<br><br>Особое спасибо A Clockwork Orang https://opennet.ru/openforum/vsluhforumID3/4247.html#13 Fri, 14 Aug 2009 02:43:50 GMT А вообще не очень понятно, чем был плох старый стандарт, когда коннект происходил по 21 порту, а данные лились по 20? Какого х*** потребовалось изобретать этот е****** кретинский режим работы, из-за которого у админов одна только е***** и еще х** знает с каким результатом? Что вообще позитивного внесли эти дегенераты, которые этот стандарт придумали?<br> https://opennet.ru/openforum/vsluhforumID3/4247.html#12 Fri, 14 Aug 2009 02:38:36 GMT А вообще оно работает? Пробовал написать даже так:<br>allow tcp from any to any 20,21,1024-65535<br>allow tcp from any 20,21,1024-65535 to any<br>И вообще вот так:<br>allow tcp from any to any<br>allow tcp from any to any<br>Пофиг! Разница только в том, что если я разбаниваю эти порты, коннект отлетает не на команде PORT (куча_цифр) а на команде LIST с сообщением 425 Unable to open the data connection<br><br>Оно вообще из-за nat-а работает?!<br> https://opennet.ru/openforum/vsluhforumID3/4247.html#11 Thu, 13 Aug 2009 08:42:08 GMT Все-таки, как сделать, чтобы работало? У меня не работает. Написал вот что:<br><br>rc.conf:<br>...<br>natd -p 8671 -f /etc/natd.conf -n ${prov1} -punch_fw 10000:200<br>...<br><br>rc.firewall:<br>...<br>prov1="rl2"<br>fwcmd="ipfw -q add"<br>...<br>${fwcmd} 9500 divert 8671 ip4 from any to any 20,21 out xmit ${prov1}<br>${fwcmd} 9510 divert 8671 ip4 from any 20,21 to any in recv ${prov1}<br>${fwcmd} 9540 allow tcp from any to any established<br>${fwcmd} 9550 count tcp from any to any setup<br>...<br>${fwcmd} 60000 deny log logamount 20000 ip from any to any<br>...<br><br>Судя по логу видно, что на фаер прилетают запросы на 21 порт, который фаер банит. Дописал:<br>${fwcmd} 9560 allow tcp from any to any 20,21<br>В логе фаера ошибки исчезли, но соединение не происходит и в логах ftp-сервера видно, что авторизация на сервере происходит до того момента как клиент попытается "создать в фаерволле ходы" :(<br> https://opennet.ru/openforum/vsluhforumID3/4247.html#10 Thu, 09 Oct 2008 09:48:36 GMT ipfw -q add 300 allow tcp from any to any established <br> ipfw -q add 400 allow tcp from any to any setup <br><br>Не пугайте людей.<br>Сначала setup, потом established?<br><br>Это равносильно allow all from any to any!<br> https://opennet.ru/openforum/vsluhforumID3/4247.html#9 Thu, 19 Oct 2006 13:30:08 GMT нихера не помогает то что ты написал, как не входит так и не входит, есть ешё что нить для решения задачи? https://opennet.ru/openforum/vsluhforumID3/4247.html#8 Tue, 30 May 2006 12:04:28 GMT В этом случае пассивный FTP не работает. Данные идут по &gt;1023 портам. 20-й порт не используется вообще https://opennet.ru/openforum/vsluhforumID3/4247.html#7 Tue, 07 Feb 2006 15:41:05 GMT А если сделать?:<br>ipfw -q add 300 allow tcp from any to $iip 20,21 established<br>ipfw -q add 350 allow tcp from $iip 20,21 to any established<br>ipfw -q add 400 allow tcp from any to $iip 20,21 setup<br>ipfw -q add 450 allow tcp from $iip 20,21 to any setup https://opennet.ru/openforum/vsluhforumID3/4247.html#6 Sun, 08 Jan 2006 19:24:31 GMT &gt;Все гораздо хуже <br>&gt;setup пропускает SYN пакеты. <br>&gt;eslablished - пакеты с ACK'ами. <br><br>А если мы добавим вот это?:<br>${ipfw} add 60 deny tcp from any to any not established tcpflags fin<br>${ipfw} add 70 deny tcp from any to any tcpflags fin,syn,rst,psh,ack,urg<br>${ipfw} add 80 deny tcp from any to any tcpflags !fin,!syn,!rst,!psh,!ack,!urg<br><br><br> https://opennet.ru/openforum/vsluhforumID3/4247.html#5 Mon, 05 Sep 2005 14:48:28 GMT Откровенный бред. <br>Вас еще не сломали? тогда мы идем к вам :-)