Исходное сообщение
"Пассивный FTP, pf,  поделитесь опытом " Отправлено Serge, 24-Ноя-08 15:53
Задача - разрешить из локалки доступ к любым ftp серверам через freebsd сервер с pf. как я понимаю, активный ftp отпадает сразу - на файрволле не сильно хочу открывать разрешения входящих соединений. Остановился на пассивном ftp, все работает только при добавлении в pf двух правил: pass quick on $int_if proto tcp from $network port >=1024 to any port { 20, 21, >=1024 } keep state (max-src-conn 100, max-src-conn-rate 15/5) pass out quick on $ext_if0 proto tcp from ($ext_if0) port >1024 to any port >1024 keep state где $int_if - сетевуха смотрит в локалку, $network -локалка типа 192.168.1.0/24,  $ext_if0 = tun0 - инет, как я понимаю это не есть гуд, потому что для локалки разрешается хождение на все "верхние" порты, т.е. использование сторонних прокси-серверов, лишних сервисов и т.п. Как по другому настроить pf для ftp - yt не представляю (из описания протокола) может я что-то упустил, или имеет смысл реализовать систему как-то по другому? Поделитесь опытом, кто сталкивался с проблемой, пож. Заранее благодарен!

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Задача - разрешить из локалки доступ к любым ftp серверам через freebsd > сервер с pf. > как я понимаю, активный ftp отпадает сразу - на файрволле не сильно > хочу открывать разрешения входящих соединений. > Остановился на пассивном ftp, все работает только при добавлении в pf двух > правил: > pass quick on $int_if proto tcp from $network port >=1024 to any > port { 20, 21, >=1024 } keep state (max-src-conn 100, max-src-conn-rate > 15/5) > pass out quick on $ext_if0 proto tcp from ($ext_if0) port >1024 to > any port >1024 keep state > где $int_if - сетевуха смотрит в локалку, $network -локалка типа 192.168.1.0/24, > $ext_if0 = tun0 - инет, > как я понимаю это не есть гуд, потому что для локалки разрешается > хождение на все "верхние" порты, т.е. использование сторонних прокси-серверов, лишних > сервисов и т.п. > Как по другому настроить pf для ftp - yt не представляю (из > описания протокола) может я что-то упустил, или имеет смысл реализовать систему > как-то по другому? Поделитесь опытом, кто сталкивался с проблемой, пож. Заранее > благодарен!
	Введите код, изображенный на картинке: