Centos 7ファイアウォールがファイル交換をブロックする

Question 1

使用されるポートは、FTP接続に使用される「モード」によって異なります。

アクティブモードでは、クライアントはコマンドポート（21）を介してサーバーに接続します。また、サーバーに無許可のランダムポート（> 1023）を提供します。サーバーは、その任意のポートをターゲットとして使用してクライアントに再接続します。

パッシブモードでは、クライアントはコマンドポート（21）を介してサーバーに接続します。その後、サーバーは許可されていない任意のポートを開き、その情報をクライアントに送信します。クライアントはこのランダムポートをターゲットとして使用してサーバーに再接続します。

詳細については、次の記事を参照してください。アクティブFTPとパッシブFTP、権威ある説明。

エラーの説明によると、FTPクライアントは手動モードで接続する必要があります。上記のように、サーバーは自分の側で無許可の任意のポートを開き、クライアントがそのポートに再接続されることを期待します。その後、ファイアウォールは着信接続をブロックし、プロセス全体が失敗します。

手動モードをサポートするための推奨されるアプローチは、特定の範囲のポートを使用するようにFTPサーバーを構成し、ファイアウォールで同じ範囲を開くことです。開く必要があるポートの数は、サポートするクライアントの数によって異なります。

可能であれば、SFTPを代替として考えることもできます。 SFTPはSSHの上に構築されたまったく異なるプロトコルです。ファイアウォールレベルで扱いやすい単一の標準SSHポート（22）を使用して実行されます。 SFTPはまた、既存のFTPでは不可能であったすべての通信を暗号化します。

Answer

使用されるポートは、FTP接続に使用される「モード」によって異なります。

アクティブモードでは、クライアントはコマンドポート（21）を介してサーバーに接続します。また、サーバーに無許可のランダムポート（> 1023）を提供します。サーバーは、その任意のポートをターゲットとして使用してクライアントに再接続します。

パッシブモードでは、クライアントはコマンドポート（21）を介してサーバーに接続します。その後、サーバーは許可されていない任意のポートを開き、その情報をクライアントに送信します。クライアントはこのランダムポートをターゲットとして使用してサーバーに再接続します。

詳細については、次の記事を参照してください。アクティブFTPとパッシブFTP、権威ある説明。

エラーの説明によると、FTPクライアントは手動モードで接続する必要があります。上記のように、サーバーは自分の側で無許可の任意のポートを開き、クライアントがそのポートに再接続されることを期待します。その後、ファイアウォールは着信接続をブロックし、プロセス全体が失敗します。

手動モードをサポートするための推奨されるアプローチは、特定の範囲のポートを使用するようにFTPサーバーを構成し、ファイアウォールで同じ範囲を開くことです。開く必要があるポートの数は、サポートするクライアントの数によって異なります。

可能であれば、SFTPを代替として考えることもできます。 SFTPはSSHの上に構築されたまったく異なるプロトコルです。ファイアウォールレベルで扱いやすい単一の標準SSHポート（22）を使用して実行されます。 SFTPはまた、既存のFTPでは不可能であったすべての通信を暗号化します。

Question 2

これはHaxielの答えに対するもう一つの答えです。暗号化が使用されている場合（例：AUTH TLS）その後、Haxielの答えを引き続き使用する必要があります。 FTPサーバー構成をファイアウォール構成と一致させて、スケジュールされたポート範囲を使用してください。

特定のプロトコル（通常古いプロトコル）はファイアウォールに優しいものではありません。 FTPはその一つです。送信されたすべてのコマンドに対して、クライアントとサーバー間で追加の動的一時ポートをネゴシエートしてデータを送信します。このデータ接続のコマンド、応答、および接続の方向は、アクティブまたはパッシブFTPモードによって異なります。

LinuxカーネルNetfilterのconntrackサブシステムは、これらのプロトコルのいくつかを処理するためのプロトコル固有のヘルパーを提供します。もちろん、FTPのヘルパーを提供します。nf_conntrack_ftp:

ヘルプテキスト

FTP接続を追跡するのに問題があります。これを追跡し、偽装やその他の形式のネットワークアドレス変換を実行するには、特別なヘルパーが必要です。

これは、レイヤ3の独立した接続追跡のためのFTPサポートです。

モジュールがロードされると、nf_conntrack_ftpFTPが暗号化されていない限り（つまり、暗号化されていません：暗号化によるAUTH TLSスヌーピングが防止されます）、カーネルのNetfilter conntrackサブシステムはTCPポート21でリッスンし、すべてのコマンドを分析して必要なポートを事前に把握します。事前に許可します。次のコマンドクラスポートを使用してiptables'-m conntrack --ctstate RELATED（またはnftables' ct state related):

RELATED

このパケットは新しい接続を開始しますが、FTPデータ転送やICMPエラーなどの既存の接続に関連付けられています。

確かにファイアウォールアプリケーションはICMPエラーなどを再度受信する可能性があるため、ルールセットにこのタイプのルールを使用してください。

システムが NAT を実行すると、nf_nat_ftp追加モジュールが拡張されます。つながるクライアントとサーバーに対して透過的に機能するようにデータを傍受し、ネゴシエートされたポートを変更することも可能です。

簡単に言うと：

modprobe nf_conntrack_ftp

これはOPの問題を解決します。すべてのFTP状況（クライアントまたはサーバー、アクティブまたは手動FTP）で機能します。 CentOS7で起動時にこのモジュールをロードするには、ファイルを追加して/etc/modules-load.d/systemdで処理することができます。たとえば、ルートとして：

# echo nf_conntrack_ftp > /etc/modules-load.d/local-nfhelpers.conf
# systemctl enable systemd-modules-load
# systemctl restart systemd-modules-load

サーバーが何らかの方法で（FTPポートを別のポートにリダイレクト、プライベートLANルーティング、VM、コンテナホスティングなど）NATを実行している場合は、nf_nat_ftpNATも正しく処理されるようにこのモジュールを追加することを検討することもできます。

デフォルトでは、これはCentOS 7カーネル3.10の両方に必要です。

メモ:

最新のカーネル、特に4.7以降のカーネルでは、自動プロトコルポート割り当てはデフォルトで無効になっています（たとえば、FTPの場合はポート21トレース）。iptables特定のプロセスに対してヘルパーを有効にする必要がある正確な状況を選択するには、ルールを追加する必要があります。今利用可能ファイアウォール作業がより複雑になる可能性があります。もちろん、以前の方法を再度有効にすることもできますが、スヌーピングを有効にする条件を選択する方が安全です。

これについて詳しくは、次のブログ（一部のnetfilter管理者が作成したもの）を参照してください。Linux以上！ iptablesと接続追跡ヘルパーの安全な使用。

Answer