Marc PERRUDIN a écrit : > Thierry B a écrit : > >> Marc PERRUDIN a écrit : >> >> >>> Si tu utilise le module state, ftp necessite seulement 2 regles: >>> >>> echo "On autorise le protocole FTP" >>> iptables -A INPUT -i eth0 -p tcp --dport 21 -m state --state >>> NEW,ESTABLISHED,RELATED -j ACCEPT >>> iptables -A OUTPUT -o eth0 -p tcp --sport 21 -m state --state >>> ESTABLISHED,RELATED -j ACCEPT >>> >>> C'est d'ailleurs l'interet de ce module, il permet de ne pas etre obligé >>> d'ouvrir tous les ports au dessus de 1024 et le ftp-data entrant en >>> permanence. >>> >>> Au passage, si ton firewall est aussi sous iptables et que tu utilise un >>> adressage privé derriere, n'oublie pas de charger le module ip_nat_ftp >>> (sur le firewall) si tu veux que les 2 modes fonctionnent. >>> >>> A+ >>> >>> >>> >>> >> Bonjour, >> Il ne serait pas rpéférable du coté ftp, d'ouvrir seulement quelques >> ports du genre 50000-50002, et de paramétrer le serveur ftp pour qu'il >> utilise ces ports ci? >> Ou justement l'interet ip_conntrack_ftp c'est de ne pas fixer de plages, >> comme ca on est tranquille au niveau de la limite du nombre de >> transferts simultannés en mode ftp passif ? >> >> > On peut en effet limiter le nombre de port ouverts mais le probleme > reste: il y a des ports ouvert en permanence. Le module ip_conntrack_ftp > permet d'eviter d'avoir des ports ouverts en permanence, le module se > charge d'ouvrir seulement les ports utilisés et uniquement pendant > qu'ils sont utilisés. > Un des interets de cette facon de fonctionner est d'eviter qu'en cas > d'attaque réussi sur le système, le pirate puisse tranquillement mettre > des demons en ecoutent sur les ports ouverts, il doit obligatoirement > obtenir des privileges élevés (root) pour pouvoir faire ce genre d'action. > > A+ > >> Merci >> A+ >> >> >> >> > > Ok merci.
Case passe comment en fait exactement en ftp passif ? Le client se connecte sur le port 21 du serveur, et ensuite le serveur renvoie une réponse pour signaler au client, le port qu'il a choisi, et enfin, le client établit le transfert sur ce port ? Merci :-) A+ -- Pensez à lire la FAQ de la liste avant de poser une question : http://wiki.debian.net/?DebianFrench Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:" To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
