FTP kasutamine OpenBSD paketifiltriga - Redigeerimiste ajalugu

Imre: /* Ilma ftp-proxy kasutamiseta ftp serveri tulemüür */

2015-12-07T21:13:20Z

Ilma ftp-proxy kasutamiseta ftp serveri tulemüür

←Vanem redaktsioon		Redaktsioon: 7. detsember 2015, kell 21:13
380. rida:		380. rida:
	* ftp serveri logis oleks näha klientide ip aadressid		* ftp serveri logis oleks näha klientide ip aadressid
	* ftp klientide ühendusi kontrolliks ftp server (erinevad timeoutid)		* ftp klientide ühendusi kontrolliks ftp server (erinevad timeoutid)
			* ftp server autendib kasutajaid

	siis on võimalik paketifilter seadistada käima ilma seejuures kasutamata ftp-proxy tarkvara. Seejuures võiks kasutada ftp serveri poolel järgnevaid abistavaid võtteid		siis on võimalik paketifilter seadistada käima ilma seejuures kasutamata ftp-proxy tarkvara. Seejuures võiks kasutada ftp serveri poolel järgnevaid abistavaid võtteid

Jj: /* Kasulikud lisamaterjalid */

2010-06-14T10:07:26Z

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 14. juuni 2010, kell 10:07
454. rida:		454. rida:
	* [[:Anonüümse ftp serveri kasutamine OpenBSDga]]		* [[:Anonüümse ftp serveri kasutamine OpenBSDga]]
	* [[:Vsftpd kasutamine Debian Lennyga]]		* [[:Vsftpd kasutamine Debian Lennyga]]
			* http://www.cyberciti.biz/faq/freebsd-opebsd-pf-firewall-ftp-configuration/ FreeBSD nativa tulemüüri seadistamine aktiivseid ühendusi tegema

Imre: /* Ilma ftp-proxy kasutamiseta ftp serveri tulemüür */

2010-05-22T08:24:53Z

Ilma ftp-proxy kasutamiseta ftp serveri tulemüür

@@ 403. rida: / 403. rida: @@
 * on eeldatud, et ftp server kasutab passiivsete andmeühenduste teenindamiseks porte 20000 kuni 50000
 * server on seadistatud algatama aktiivsed ühendusi pordilt 20/tcp ja nat reegliga see src port säilitatakse
 ===Märkused===

Imre: /* Märkused */

2010-05-21T19:04:17Z

Märkused

←Vanem redaktsioon		Redaktsioon: 21. mai 2010, kell 19:04
428. rida:		428. rida:
	[ Inserted: uid 71 pid 12441 State Creations: 1 ]		[ Inserted: uid 71 pid 12441 State Creations: 1 ]
	@1 pass out quick inet proto tcp from 192.168.32.82 to 192.168.10.10 port = 43157 flags S/SA keep state \		@1 pass out quick inet proto tcp from 192.168.32.82 to 192.168.10.10 port = 43157 flags S/SA keep state \
	(max 1) rtable 0 nat-to ~~213~~.~~184~~.32.82 port 20		(max 1) rtable 0 nat-to 192.168.32.82 port 20
	[ Evaluations: 25 Packets: 8 Bytes: 833 States: 1 ]		[ Evaluations: 25 Packets: 8 Bytes: 833 States: 1 ]
	[ Inserted: uid 71 pid 12441 State Creations: 1 ]		[ Inserted: uid 71 pid 12441 State Creations: 1 ]

Imre: /* Märkused */

2010-05-21T19:03:09Z

Märkused

←Vanem redaktsioon		Redaktsioon: 21. mai 2010, kell 19:03
411. rida:		411. rida:

	pasv_address=10.0.21.254		pasv_address=10.0.21.254

			* Selleks, et aktiivne ftp töötaks OpenBSD v. 4.7 puhul, tuleb ftp kliendi proxy puhul kasutada paketifiltris

			anchor "ftp-proxy/*"
			pass in quick on $if_int proto tcp to port 21 rdr-to 127.0.0.1 port 8021

			ja käivitada programm ftp-proxy

			# ftp-proxy -r

			Tulemusena tekitatakse aktiivselt ftp seansi puhul automaatselt sarnased reegleid

			@0 pass in quick inet proto tcp from 192.168.32.82 to 172.16.96.138 port = 63020 flags S/SA keep state \
			(max 1) rtable 0 rdr-to 192.168.10.10 port 43157
			[ Evaluations: 32 Packets: 8 Bytes: 833 States: 1 ]
			[ Inserted: uid 71 pid 12441 State Creations: 1 ]
			@1 pass out quick inet proto tcp from 192.168.32.82 to 192.168.10.10 port = 43157 flags S/SA keep state \
			(max 1) rtable 0 nat-to 213.184.32.82 port 20
			[ Evaluations: 25 Packets: 8 Bytes: 833 States: 1 ]
			[ Inserted: uid 71 pid 12441 State Creations: 1 ]

			kus

			* 192.168.32.82 - ftp server
			* 172.16.96.138 - ftp kliendi tulemüüri väline ots
			* 192.168.10.10 - ftp klient

	===Kasulikud lisamaterjalid===		===Kasulikud lisamaterjalid===

Imre: /* Ilma ftp-proxy kasutamiseta ftp serveri tulemüür */

2010-01-19T12:22:05Z

Ilma ftp-proxy kasutamiseta ftp serveri tulemüür

←Vanem redaktsioon		Redaktsioon: 19. jaanuar 2010, kell 12:22
391. rida:		391. rida:
	rdr on $if_ext inet proto tcp from any to 10.0.21.254 port { 21, 20000:50000 } tag TO_FTP -> 192.168.111.162		rdr on $if_ext inet proto tcp from any to 10.0.21.254 port { 21, 20000:50000 } tag TO_FTP -> 192.168.111.162

	# kontrollkanali ja passiivsete ühenduste pääs ~~sisse~~		# kontrollkanali ja passiivsete ühenduste pääs kliendilt ftp serverisse
	pass in quick on $if_ext inet tagged TO_FTP $tcpopts (tcp.established 1440)		pass in quick on $if_ext inet tagged TO_FTP $tcpopts (tcp.established 1440)
	pass out quick on $if_int inet tagged TO_FTP $tcpopts (tcp.established 1440)		pass out quick on $if_int inet tagged TO_FTP $tcpopts (tcp.established 1440)

	# aktiivsete ühenduste pääs ~~välja~~		# aktiivsete ühenduste pääs ftp serverist kliendi poole
	pass in quick on $if_int inet proto tcp from 192.168.111.162 port 20 to any tag FROM_FTP $tcpopts (tcp.established 1440)		pass in quick on $if_int inet proto tcp from 192.168.111.162 port 20 to any tag FROM_FTP $tcpopts (tcp.established 1440)
	pass out quick on $if_ext inet tagged FROM_FTP $tcpopts (tcp.established 1440)		pass out quick on $if_ext inet tagged FROM_FTP $tcpopts (tcp.established 1440)

Imre: /* Tööpõhimõte */

2009-12-25T11:23:57Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 25. detsember 2009, kell 11:23
26. rida:		26. rida:

	===Tööpõhimõte===		===Tööpõhimõte===

			FTP protokoll on ajaloolisetel põhjustel erinev paljudest teistest klient-server protokollidest selles osas, et kliendi ja serveri vahelisel suhtlemisel kasutatakse üle tcp kahte suhtluskanalit

			* juhtimiskanal - moodustatakse alati kliendi pöördumisel oma mitteprivilegeeritud pordilt serveri 21/tcp porti (vaikimisi)
			* andmevahetuse kanal - moodustatakse aktiivsel juhul serveri pöördumisel klindi poole ja passiivsel juhul kliendi pöördumisel serveri poole

			Andmevahetuse kanali moodustamiseks on kaks võimalust

			* aktiivne ftp - peale kliendi pöördumist juhtimiskanalil pöördub server oma 20/tcp src pordilt kliendi näidatud kliendi arvuti /tcp pordi poole
			* passiive ftp - peale kliendi pöördumist lepivad klient ja serveri kokku millise serveri /tcp pordi poole pöördub klienti andmevahetuseks

	====Passiivne ftp====		====Passiivne ftp====

Imre: /* Märkused */

2009-12-21T18:01:25Z

Märkused

←Vanem redaktsioon		Redaktsioon: 21. detsember 2009, kell 18:01
397. rida:		397. rida:

	* Kui tulemüür peab töötama samaaegselt nii kliendi kui serveri ees töötava tulemüürina, tuleb seadistada samaaegselt mõlemad funktsionaalsused, seejuures võib olla asjakohane käivitada mitu ftp-proxy eksemplari.		* Kui tulemüür peab töötama samaaegselt nii kliendi kui serveri ees töötava tulemüürina, tuleb seadistada samaaegselt mõlemad funktsionaalsused, seejuures võib olla asjakohane käivitada mitu ftp-proxy eksemplari.

			* lisaks muudele nö tavalistele seadistusfaili direktiividele tuleb nt vsftpd puhul parameeteriga pasv_address näidata ftp serveri avalik aadress selleks, et passiivset andmevahetuse režiimi kasutavad kliendid saaksid teada ftp serveri poole pöördumiseks korrektse ip aaddressi

			pasv_address=10.0.21.254

	===Kasulikud lisamaterjalid===		===Kasulikud lisamaterjalid===

Imre: /* Ilma ftp-proxy kasutamiseta ftp serveri tulemüür */

2009-12-20T21:55:01Z

Ilma ftp-proxy kasutamiseta ftp serveri tulemüür

←Vanem redaktsioon		Redaktsioon: 20. detsember 2009, kell 21:55
388. rida:		388. rida:
	pass in quick on $if_int inet proto tcp from 192.168.111.162 port 20 to any tag FROM_FTP $tcpopts (tcp.established 1440)		pass in quick on $if_int inet proto tcp from 192.168.111.162 port 20 to any tag FROM_FTP $tcpopts (tcp.established 1440)
	pass out quick on $if_ext inet tagged FROM_FTP $tcpopts (tcp.established 1440)		pass out quick on $if_ext inet tagged FROM_FTP $tcpopts (tcp.established 1440)

			kus

			* on eeldatud, et ftp server kasutab passiivsete andmeühenduste teenindamiseks porte 20000 kuni 50000
			* server on seadistatud algatama aktiivsed ühendusi pordilt 20/tcp ja nat reegliga see src port säilitatakse

	===Märkused===		===Märkused===

Imre: /* Ilma ftp-proxy kasutamiseta ftp serveri tulemüür */

2009-12-20T21:53:22Z

Ilma ftp-proxy kasutamiseta ftp serveri tulemüür

←Vanem redaktsioon		Redaktsioon: 20. detsember 2009, kell 21:53
378. rida:		378. rida:
	Sellisel juhul sobiks tulemüüris kasutada nt selliseid reegleid		Sellisel juhul sobiks tulemüüris kasutada nt selliseid reegleid

	rdr on $if_ext inet proto tcp from any to 10.0.21.254 port { 21, 20000:50000 } tag TO_FTP -> 10.0.6.9		nat on $if_ext inet tagged FROM_FTP -> 10.0.21.254 port 20
			rdr on $if_ext inet proto tcp from any to 10.0.21.254 port { 21, 20000:50000 } tag TO_FTP -> 192.168.111.162

	# kontrollkanali ja passiivsete ühenduste ~~liiklus~~ sisse		# kontrollkanali ja passiivsete ühenduste pääs sisse
	pass in quick on $if_ext inet tagged TO_FTP $tcpopts (tcp.established 1440) ~~tagged TO_FTP~~		pass in quick on $if_ext inet tagged TO_FTP $tcpopts (tcp.established 1440)
	pass out quick on $if_int inet tagged TO_FTP $tcpopts (tcp.established 1440) ~~tagged TO_FTP~~		pass out quick on $if_int inet tagged TO_FTP $tcpopts (tcp.established 1440)

	# aktiivsete ühenduste pääs välja		# aktiivsete ühenduste pääs välja
			pass in quick on $if_int inet proto tcp from 192.168.111.162 port 20 to any tag FROM_FTP $tcpopts (tcp.established 1440)
			pass out quick on $if_ext inet tagged FROM_FTP $tcpopts (tcp.established 1440)

	===Märkused===		===Märkused===