主页 / server / 问题 / 580270
Accepted
Andres SK
Asked: 2014-03-07 07:52:17 +0800 CST

iptables REJECT 不允许 ftp 服务器列出文件

  • 772

我不得不在我的 iptables 文件中注释这两行，因为由于某种原因它拒绝了 ftp 列表（它确实连接到 ftp 服务器，但它从不列出文件然后它只是超时）：

-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

...我把它改成...

# -A INPUT -j REJECT --reject-with icmp-host-prohibited
# -A FORWARD -j REJECT --reject-with icmp-host-prohibited

可能是什么问题？我在另一台服务器中有相同的 2 行，我在该服务器的 ftp 中列出文件没有问题。

如果您需要，这是完整的 iptables 文件：

# Generated by iptables-save v1.4.7 on Wed Jan 15 22:36:31 2014
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3:412]
-A INPUT -p tcp -m tcp --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 11211 -j ACCEPT
# -A INPUT -j REJECT --reject-with icmp-host-prohibited
# -A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -p tcp -m tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT
COMMIT
# Completed on Wed Jan 15 22:36:31 2014
iptables

1 个回答

  1. Best Answer

    您忘记在 FTP 规则上启用连接跟踪。

    -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT

    与您拥有的其他规则一样，此规则需要是有状态的，以便将 FTP 数据传输视为相关：

    -A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT

    我还建议您不要盲目地从不同的网站复制规则，并花一点时间来了解防火墙的工作原理。

    • 1

相关问题