[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[debian-users:32619] Re: NAT 内部の FTP サーバー

こんにちは。杉浦と申します。

>>> In Message "[debian-users:32586] Re: NAT 内部の FTP   サーバー"
>>>            <3CCCD0BB.7000208@xxxxxxxxx>,
>>> Tomoo Nomura <nomurat@xxxxxxxxx>  said;
> > ポートというより松田さんの記事の中の
> > 
> > # ip_conntrack_ftp モジュールをロード
> > $MODPROBE ip_conntrack_ftp

> > ルータ自身でpassive モード あるいは NAT経由のftpそのものが有効になって
> > いないといけません。iptables の場合なら、ip_conntrack_ftp.o モジュールを
> > ロードすることがこれに対応します。

> なるほど。やはりルーターがそれなりに対応していないと、wu-ftpdの設定のみでは
> 無理なようですね。ちなみにMN-128-soho PAL B&I ですが、ダメなようです。

いや、野村さんの理解で合っていると思います。
その URL は「ちゃんと全部ポートは閉じたいれど、PASV FTP も通したい」と
言う要望を実現できるという話です。

そういう細かいフィルタリングをせずに、 単に PASV FTP を使いたいだけなら、
単にポートフォアードさえ出来ればば可能です。
# だって、単にクライアント側から接続しにいっているですから。

ip_conntrack_ftp はそれぞれの接続が FTP のコマンドコネクションで要求さ
れたデータ転送の物かどうかを判定するためにあるのだと思います（うー。分
かりにくい日本語だ……）。
# iptables(8) の state の辺りにちょっと書いてあります


ただ、wu-ftpd については知らないので、単なる勘ですが、ftpaccess での
passive address の設定を、

passive address 192.168.1.13  0.0.0.0/0

だけにしたら繋がったりしませんか？

多分これは一つ目のアドレスが listen するアドレスで、２つ目がクライアン
トのソースアドレスの条件じゃないかと思います。
# で、FTP サーバ自身は 202.xxx.yyy.59 というアドレスを持っていないから、
# 当然 listen 出来なくて失敗してるという話じゃないかと。

-- 
Tatsuki Sugiura   mailto:sugi@xxxxxxxxxxxxxxxxxxxxxxxxxxx