Ca bloque donc sur les ports 50000 et des poussières. Si j'ouvre ces ports ca marche.
Mon iptable :
# Generated by iptables-save v1.4.21 on Mon Nov 2 05:43:07 2015
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [43:46568]
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -i enp0s3 -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A INPUT -i enp0s3 -p tcp -m tcp --dport 1024:65535 -m helper --helper ftp -m conntrack --ctstate RELATED -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables_INPUT_denied: " --log-level 7
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -m limit --limit 5/min -j LOG --log-prefix "iptables_FORWARD_denied: " --log-level 7
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Mon Nov 2 05:43:07 2015
Mais en y regardant de plus près, la chaine utilise le helper ftp, et le module nf_coontrack_ftp a besoin d'être chargé pour ça.
Donc un modprobe nf_conntrack_ftp, et là ça marche avec la chaine que tu m'as donné.
Impeccable donc, j'ai mon serveur avec SELinux et Iptables de up, c'est pas mal.
Après j'avoue ne pas connaitre ce système de helper. Ca s'utilise pour d'autres choses que les cas particuliers comme le ftp passif ? Parceque j'ai encore pas mal de serveurs à poser et je débute encore dans la matière, autant que je prenne le temps d'explorer la chose si ça vaut le coup... :-)
[^] # Re: Le FTP est un protocole sale
Posté par zaft . En réponse au message Règle iptables pour serveur vsftpd. Évalué à 1.
En retard.
Bon, ca ne marche toujours pas en rajoutant la chaine.
Le log :
[ 2991.605932] iptables_INPUT_denied: IN=enp0s3 OUT= MAC=08:00:27:a6:8f:9f:08:00:27:7c:85:5b:08:00 SRC=172.16.0.3 DST=172.16.0.2 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=18738 DF PROTO=TCP SPT=50209 DPT=57719 WINDOW=14600 RES=0x00 SYN URGP=0
Ca bloque donc sur les ports 50000 et des poussières. Si j'ouvre ces ports ca marche.
Mon iptable :
Mais en y regardant de plus près, la chaine utilise le helper ftp, et le module nf_coontrack_ftp a besoin d'être chargé pour ça.
Donc un modprobe nf_conntrack_ftp, et là ça marche avec la chaine que tu m'as donné.
Impeccable donc, j'ai mon serveur avec SELinux et Iptables de up, c'est pas mal.
Après j'avoue ne pas connaitre ce système de helper. Ca s'utilise pour d'autres choses que les cas particuliers comme le ftp passif ? Parceque j'ai encore pas mal de serveurs à poser et je débute encore dans la matière, autant que je prenne le temps d'explorer la chose si ça vaut le coup... :-)