Разрешение пассивных FTP-соединений в FirewallD (CentOS 7)

В CentOS 7, которая поставляется с FirewallD, включить доступ по протоколу HTTP было просто:

firewall-cmd --permanent --zone=public --add-service=http

Тем не мение,

firewall-cmd --permanent --zone=public --add-service=ftp

не работает: правило применяется, но я не могу получить доступ к FTP никакими способами, кроме отключения FirewallD.

Некоторая диагностическая информация:

Я проверил файл определения службы (ftp.xml), и он использует модуль nf_conntrack_ftp.
На моем VPS модуль скомпилирован в ядро (не отдельно), поэтому его нет через lsmod, но я могу подтвердить его наличие следующим образом:


zgrep FTP /proc/config.gz


CONFIG_NF_CONNTRACK_FTP=y
CONFIG_NF_CONNTRACK_TFTP=y
CONFIG_NF_NAT_FTP=y
CONFIG_NF_NAT_TFTP=y

Я не исследовал эту проблему досконально, поэтому я не понимаю деталей, но, похоже, это как-то связано с тем, как настраиваются активные - пассивные соединения как для vsftpd на сервере, так и для клиента (например, Filezilla).

В основном вам необходимо:

настройте пассивный режим vsfptd, добавив следующее в /etc/vsftpd/vsftpd.conf: pasv_enable=Yes pasv_max_port=40000 pasv_min_port=40000
Перезагрузите vsftpd: systemctl restart vsftpd.service
Открыть порт 4000 в FirewallD: firewall-cmd --permanent --add-port=40000/tcp firewall-cmd --reload
Затем я смог связаться с lftp. Чтобы настроить Filezilla на использование активного режима, проверьте http://www.itzgeek.com/how-tos/linux/centos-how-tos/enable-passive-mode-in-ftp-on-centos-7-rhel-7-for-filezilla-and-winscp. html # axzz3X4loTCMi

попробуйте: изменить /etc/vsftpd/vsftpd.conf

pasv_enable=YES
pasv_min_port=65400
pasv_max_port=65410

Затем:

firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p TCP --dport 21 --sport 1024:65534 -j ACCEPT
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p TCP --dport 65400:65410 --sport 1024:65534 -j ACCEPT
firewall-cmd --reload
firewall-cmd --permanent --direct --get-all-rules

Я использую сервер vsftp, и клиент FileZilla может работать