关于vsftp被动模式加载ip_conntrack_ftp模块问题

最近在看余洪春老师的《构建高可用Linux服务器》,在看到vsftp那章节时,发现书中关于ftp被动模式的内容跟自己的理解有一些出入,就自己顺带做了把实验,只不过iptables命令是自己手动敲的,没用到书中的脚本,我的iptables如下

写道
iptables -P INPUT DROP

iptables-POUTPUT\FORWARDACCEPT

iptables-AINPUT-ptcp-mmultiport--dport21,22-jACCEPT

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
 

由于ftp的被动模式是这样的,客户端跟服务器端的21号端口交互信令,服务器端开启21号端口能够使客户端登录以及查看目录。但是ftp被动模式用于传输数据的端口却不是20,而是大于1024的随机或配置文件里的端口,并且服务器端通过21号端口告诉客户端我要通过>1024的某个端口来发送数据(ftp-data),客户端得知服务器端这个端口后,再由客户端主动向服务器端的>1024的端口发起tcp连接。

问题就来了,如果按上述的iptables脚本,服务器端并没有打开1024以上的端口,客户端主动发起的连接怎么能够穿越防火墙呢?

在实验过程中,也证明我的言论,服务器端打开1024以上的端口,客户端就能下载ftp数据,比如加上这条iptables命令

写道
iptables -A INPUT -p tcp --dport 1024: -j ACCEPT

如果不加这条命令,客户端只能登录及查看文件目录,点击下载的时候却会超时;

在linux服务器实际应用中也不会为了ftp被动模式,而打开1024以上的端口;当然,vsftp配置端口范围又是另外一回事了,这个方法也比较常见。

于是,我就认为余洪春老师的书中这部分内容有问题,我赶紧将这第一手实验消息写了封邮件发给余老师的gmail邮箱,一边描述问题一边窃喜,竟然让我发现了如此天机。

后来....

后来...

后来我就悲催了...

经过几次的交流之后,显然是我错了,余老师书中的内容完全没有问题。

但是问题出在哪呢?

出在我不听余老师的话,不用人家的iptables脚本,呵呵。

没有注重技术细节!关键在于一条模块加载的命令:modprobe ip_conntrack_ftp

执行这条命令后,确实,1024以上的任何端口都不需要开,vsftp的被动模式也可以下载ftp-data。

那么,ip_conntrack_ftp 这个模块的作用是神马呢?

其实具体作用我也不知道,若哪位高人路过,还恳请详细告知。

我只能说谈谈我对这个模块的一点点理解,不想误人子弟

由于网上这方面的内容有限,我个人猜测总结如下:

1、开启了这个模块,服务器端那边会自动监视拦截客户端与服务器端21号端口建立的连接中的内容,拦截到服务器端需要开启某个端口后,然后iptables在后台会开放这个>1024的端口;2、加载了这个模块,相当于被动模式中的第二次连接本质上应该是属于服务器端发起的,这也就是state RELATED的作用;

后期若弄明白了,在来更新一下。。。

相关推荐