View Full Version : проброска Ftp порта
Как правильно пробросить ftp порт на другую машину?
Собственно ftp поднять, внутри свой сети захожу. А вот из за роутера его не видно. На роуторе ftp сервер отключен. Указанна проброска портов 20:21 на 1:65000 (уже от безисходности)
Делается вирутальный сервер для порта 21. Только из домовой сети это не работает, а вот из "интернет" - работает.
Делается вирутальный сервер для порта 21. Только из домовой сети это не работает, а вот из "интернет" - работает.
Это понятно так и сделанно. Собственно надо именно для домовой сети. Самое интересно самба,прокси и прочия фигня пробрасывается довольно успешно. А с ftp косяк....
В post-firewall прописать форвард FTP-портов с внутренноего интерфейса на нужный адрес.
freechief
18-08-2005, 23:59
чего-то недопонял. что значит "post-firewall"?
история:
фтп сервер же у меня на компе стоит, который айпи после роутера имеет 192.168.1.х, а локалка 10.10.х.х.
а если у меня роутер подключен к пптп - он всегда показывает в port forwarding table 172.16.х.х-TCP-20:21-192.168.1.х. и никак нельзя добиться, чтобы было 10.10.х.х-TCP-20:21-192.168.1.х.
и пока на него можно зайти только через впн сервер набрав с другой машины сети в фтп клиенте 172.16.х.х, тем самым получая скорость инета и соответственный трафик
Настройки вкладки Virtual Server работают строго определенным образом - генерятся соответствующие праивл ана перенаправление портов WAN интерйейса на указанный адрес во внутренней сети. Единственный вариант пробросить определенные порты с MAN-интерфейса - вручную добавить соответствующие правила iptables.
Так еще раз =)
pptp не поднято.
Адрес машинки в Home сети 10.14.0.13
Адрес машинки для моей сети 10.14.254.13
virtual server все 20:21 на 10.14.254.13 20:21
Port Forwarding
Destination Proto. Port Range Redirect to
10.14.0.13 TCP 20:21 10.14.254.13
Вопрос, почему сервер так и не работает ?
iptables -L -v -t nat
в студию плиз
freechief
22-08-2005, 07:14
Chain PREROUTING (policy ACCEPT 8781 packets, 675K bytes)
pkts bytes target prot opt in out source destination
0 0 DNAT tcp -- any any anywhere 172.16.170.34 tcp dpt:3000 to:192.168.1.16:3000
0 0 DNAT udp -- any any anywhere 172.16.170.34 udp dpt:3000 to:192.168.1.16:3000
0 0 DNAT tcp -- any any anywhere 172.16.170.34 tcp dpts:ftp-data:ftp to:192.168.1.16:21
0 0 NETMAP udp -- any any anywhere 172.16.170.34 udp spt:6112 192.168.1.0/24
0 0 autofw tcp -- br0 any anywhere anywhere tcp dpt:3000 autofw tcp dpt:3000 to:3000
0 0 autofw udp -- br0 any anywhere anywhere udp dpt:3000 autofw udp dpt:3000 to:3000
0 0 autofw tcp -- br0 any anywhere anywhere tcp dpt:ftp autofw tcp dpt:21 to:21
Chain POSTROUTING (policy ACCEPT 10012 packets, 601K bytes)
pkts bytes target prot opt in out source destination
0 0 NETMAP udp -- any any 192.168.1.0/24 anywhere udp dpt:6112 172.16.170.34/32
4516 219K MASQUERADE all -- any ppp0 !172.16.170.34 anywhere
160 9223 MASQUERADE all -- any eth1 !10.10.170.34 anywhere
16 1876 MASQUERADE all -- any br0 192.168.1.0/24 192.168.1.0/24
Chain OUTPUT (policy ACCEPT 10028 packets, 603K bytes)
pkts bytes target prot opt in out source destination
вот и думаю.
нужно пробросить 21 порт на входе 10.10.170.34 на мой внутренний 192.168.1.16, помогите плиз :)
а то я с этими iptables'ами уже запутался.
Chain PREROUTING (policy ACCEPT 1759 packets, 238K bytes)
pkts bytes target prot opt in out source destination
0 0 DNAT tcp -- any any anywhere 10.14.0.13 tcp dpts:ftp-data:ftp to:10.14.254.13:20
0 0 DNAT udp -- any any anywhere 10.14.0.13 udp dpts:20:fsp to:10.14.254.13:20
0 0 DNAT tcp -- any any anywhere 10.14.0.13 tcp dpt:squid to:10.14.254.103:3128
Chain POSTROUTING (policy ACCEPT 106 packets, 6922 bytes)
pkts bytes target prot opt in out source destination
1 60 MASQUERADE all -- any vlan1 !10.14.0.13 anywhere
0 0 MASQUERADE all -- any br0 10.14.254.0/24 10.14.254.0/24
Chain OUTPUT (policy ACCEPT 106 packets, 6922 bytes)
pkts bytes target prot opt in out source destination
у меня все проще , но не пашет )+
Да и выводилось это ну очень долго. Около 2 минут. Это нормально?
Да и выводилось это ну очень долго. Около 2 минут. Это нормально?
Это пытались IP адреса превратиться в имена. С исопльзованием ключа -n всё будет веселее.
freechief
28-08-2005, 16:14
Знающие люди, дайте плиз строку с iptables тратата, чтобы "пробросить на айпи компа за роутером порт 21, вызываемый с айпишников моей локалки".
Мои данные:
локалка 10.10.х.х
впн айпи 172.16.х.х
айпи компа за роутером 192.168.1.16
Спасибо!
Знающие люди, дайте плиз строку с iptables тратата, чтобы "пробросить на айпи компа за роутером порт 21, вызываемый с айпишников моей локалки".
Мои данные:
локалка 10.10.х.х
впн айпи 172.16.х.х
айпи компа за роутером 192.168.1.16
Спасибо!
Примерно так:
В deluxe:
iptables -I PREROUTING -i vlan1 -p --dport 21 -j DNAT --to-destination 192.168.1.16
iptables -I FORWARD -i vlan1 -p tcp --syn --dport 21 -j ACCEPT
В обычном - замените vlan1 на eth1
freechief
01-09-2005, 21:43
Спасибо Олег, что откликнулись!
Увы первая строка с PREROUTING выдает вот что:
iptables v1.2.7a: unknown protocol `--dport' specified
вторую строчку даже не стал вводить пока... дабы не испортить все
пс: и вообще если выводить лист моих chains - нет там prerouting'а :( разве так должно быть??
iptables -t nat -I PREROUTING -i vlan1 -p tcp --dport 21 -j DNAT --to-destination 192.168.1.16
iptables -I FORWARD -i vlan1 -p tcp --syn --dport 21 -j ACCEPT
freechief
03-09-2005, 05:40
Спасибо огромное. Все заработало!
Единственный вопрос - эти установки можно сохранить? Потому как после Save&Restart в web интерфейсе они сбрасываются...
iptables -t nat -I PREROUTING -i vlan1 -p tcp --dport 21 -j DNAT --to-destination 192.168.1.16
iptables -I FORWARD -i vlan1 -p tcp --syn --dport 21 -j ACCEPT
С flashfs знакомы? Если да, то в post-firewall. Если нет, то знакомьтесь. :)
mkdir -p /usr/local/sbin
echo "#!/bin/sh" >> /usr/local/sbin/post-firewall
echo "iptables -t nat -I PREROUTING -i vlan1 -p tcp --dport 21 -j DNAT --to-destination 192.168.1.16" >> /usr/local/sbin/post-firewall
echo "iptables -I FORWARD -i vlan1 -p tcp --syn --dport 21 -j ACCEPT" >> /usr/local/sbin/post-firewall
chmod +x /usr/local/sbin/post-firewall
flashfs save && flashfs commit && flashfs enable
Видно я совсем тупой )+
Еще раз рисуем схему
vpn-Home Net-Asus-My Net
1) вопрос возможно ли вообще слд схема
на asus крутится включенный vpn, из home net люди могут заходить на ftp машины находящийся в my net.
2) Ну не получается настроить проброску так как написанно. Точка все равно упорно не желает пробрасовать ftp.
все что надо, он пробрасывает, окромя фтп )+ вешать на другой порт не хочется.
Что надо могу предоставить.
Chain PREROUTING (policy ACCEPT 4955 packets, 785K bytes)
pkts bytes target prot opt in out source destination
3 180 DNAT tcp -- vlan1 any anywhere anywhere tcp dpt:ftp to:10.14.254.100
0 0 NETMAP udp -- any any anywhere 172.17.106.12 udp spt:6112 10.14.254.0/24
Chain POSTROUTING (policy ACCEPT 125 packets, 8124 bytes)
pkts bytes target prot opt in out source destination
0 0 NETMAP udp -- any any 10.14.254.0/24 anywhere udp dpt:6112 172.17.106.12/32
5 254 MASQUERADE all -- any vlan1 !172.17.106.12 anywhere
0 0 MASQUERADE all -- any br0 10.14.254.0/24 10.14.254.0/24
Ну помогите пробросить фтп порт )+
правильней прописовать
iptables -t nat -A PREROUTING --dst <IP откуда> -p tcp --dport 21 -j DNAT --to-destination <IP Куда>
и теперь все работает.\
А вообще это модно шас народ игнорировать?:eek: