Ftp et iptables

Re,

Désolé de contredire, mais -P, c'est la politique *PAR DEFAUT*.
Il n'y a rien d'incohérent la-dedans si c'est un firewall dit "trust no one" : on DROP tout SAUF ce qui correspond a certaines règles.

Ben, comme tu veux, mais mettre la politique DROP à toutes les chaînes interdit l'accès = débranchement des cables.

Encore désolé mais non,
Si il y a des règles ACCEPT, même avec politique DROP sur toutes les chaines, certains flux vont passer et donc ça ne correspond pas à un débranchement des cables.

Re,

Ben, si tu le dis.
Mais en ce cas je ne suis pas le seul qui se trompe ;-)
Voici mon 1er cours que j'ai lu sur iptables

Le paragraphe en question (le lien http://olivieraj.free.fr/fr/linux/information/firewall/fw-03-06.html )

Définition de la politique (cibles) par défaut : La table filter possède 3 chaînes, donc elles sont toutes les trois à initialiser. Par défaut, on décide donc de tout détruire (DROP) : 
[root@phoenix /]# iptables -t filter -P INPUT DROP
[root@phoenix /]# iptables -t filter -P OUTPUT DROP
[root@phoenix /]# iptables -t filter -P FORWARD DROP

A ce stade là, vous avez court-circuité tout votre système de réseau. Toutes vos connexions réseaux sont hors service. Pas un logiciel que vous utilisez ne peut accéder au réseau, ou à vous propres serveur. J'en veux pour preuve, la commande "ping localhost" ne marche même plus, et pourtant il lui en faut pour ne plus marcher ! 
[olivier@phoenix /]$ ping localhost
PING localhost.sky.net (127.0.0.1) 56(84) bytes of data.
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted
ping: sendmsg: Operation not permitted

--- localhost.sky.net ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 2011ms

Ben, en ce cas je dois reprendre mes cours.

Salut,

Je suis tout à fait d'accord avec toi sluthole, un pare-feu doit tout refuser et ensuite on lui donne nos règles
sinon ce n'et plus un firewall...

Voici mon fichier de config vsftpd.conf mais je ne comprend pas pourquoi tout se passerais la dedans étant donné que c'est un problème de filtrage:

#daemon en standalone
listen=YES
#Permet d'accepter les connexions anonymes
anonymous_enable=NO
#Oblige les personnes à s'identifier avec un compte utilisateur
local_enable=YES

# Affiche les fichiers caches
force_dot_files=YES

# Permission d'écriture
write_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
anon_other_write_enable=NO

#Ecriture d'un log de fichier (je vous laisse le soin de regler ce parametre)
#xferlog_file=/etc/vsftpd/log...

#Banniere d'affichage a la connexion ftp
#ftpd_banner=/etc/vsftpd/ma_banniere

# active les utilisateurs virtuels
guest_enable=YES
guest_username=www-data

# droits des fichiers uploades
anon_umask=022

# Permet de chrooter la connexion de l'utilisateur
chroot_local_user=YES

# nombre maximum de sessions à 200
# nombre maximum de sessions par IP à 8
max_clients=200
max_per_ip=8

####################################
# Debian customization #
####################################
# Some of vsftpd's settings don't fit the Debian filesystem layout by
# default. These settings are more Debian-friendly.
#
# This option should be the name of a directory which is empty. Also, the
# directory should not be writable by the ftp user. This directory is used
# as a secure chroot() jail at times vsftpd does not require filesystem
# access.
secure_chroot_dir=/var/run/vsftpd
#
# This string is the name of the PAM service vsftpd will use.
pam_service_name=vsftpd
#
# This option specifies the location of the RSA certificate to use for SSL
# encrypted connections.
rsa_cert_file=/etc/ssl/certs/vsftpd.pem

# utiliser les configurations individuelles pour chaque utilisateur
user_config_dir=/etc/vsftpd/vsftpd_user_conf


En attendant je vais essayer en supprimant la règle
IPTABLES -A OUTPUT -p tcp -m multiport --dport 20,21 -j ACCEPT

Je rappelle juste ce que je veux faire: que les machines de mon LAN et celles de l'extérieure accédent à mon serveur FTP.

Salut,

ESTABLISHED, RELATED

Seulement les paquets provenants des nouvelles connexion initialisées par une connexion déjà existante et établie, auront la permission d'entrer.

Re,

Ben, côté firewall c'est correct donc ce n'est lui qui pose de problèmes
Il faut voir une autre piste.

Tu n'as pas dit si tu as bien configurer ton firebox pour la rédirection de ports.

pour firefox c'est ok, en fait il utilise le mode passif,
j'ai du ajouter NEW à la règle:

iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

tout est good maintenant, mais il va vraiment falloir que j'en apprene plus sur IPTABLEs parce que là
j'avoue ne pas tout comprendre. en tout cas merci encore :)