防火墙 与 proftp配置问题，请大家帮忙

etarip

我成功编译安装了proftpd-1.2.10，用setup命令配置防火墙，打开了21端口，在一台windows机器上用leapftp连接服务器，登录没问题，到enter passive mode[××ip,××port]时却总是出现：error: [data]: no route to host

其中××ip 为服务器ip，××port是变化的，例如138,62等等。

在google上搜索了一下，有人说是因为防火墙封闭了[××ip,××port]中“××port”端口。

我在setup中将防火墙禁用，在windows上可以正常登录ftp并下载文件。

我不明白的是，ftp默认端口是21，我也打开了这个端口，enter passive mode后边的“主机ip，某某端口”与ftp端口21是什么关系？

应该如何配置防火墙才能正常登录ftp？

谢谢大家。

gugong

[code:1]# ftp
[0:0] -A INPUT  -i eth1 -p tcp -m tcp --syn --dport 20 -j ACCEPT
[0:0] -A INPUT  -i eth1 -p tcp -m tcp --syn --dport 21 -j ACCEPT
# 允许 对外提供 Passive （被动式）连接。需要 modprobe 这两个模块： ip_conntrack_ftp ipt_state
[0:0] -A INPUT  -m state --state RELATED,ESTABLISHED -j ACCEPT
# 允许本机连接外网的 ftp 服务器，并以 PORT 模式进行 ftp data 的传送：
[0:0] -A INPUT  -i eth1 -p tcp -m tcp --syn --sport 20 -j ACCEPT
#[/code:1]

etarip

谢谢您帮忙，我是初学者，仍没解决问题，请看/etc/sysconfig/iptables的部分内容：

# Firewall configuration written by redhat-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:FORWARD ACCEPT [0]
:INPUT ACCEPT [0]
:RH-Firewall-1-INPUT - [0]
:OUTPUT ACCEPT [0]
# Manual customization of this file is not recommended.
*filter
:FORWARD ACCEPT [0]
:INPUT ACCEPT [0]
:RH-Firewall-1-INPUT - [0]
:OUTPUT ACCEPT [0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 2401 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp -m state --dport 5901:5903 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 80 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp -m state --dport 20 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Generated by webmin
*mangle
:FORWARD ACCEPT [0]
:INPUT ACCEPT [0]
:OUTPUT ACCEPT [0]
REROUTING ACCEPT [0]
OSTROUTING ACCEPT [0]
COMMIT
# Completed
# Generated by webmin
*nat
:OUTPUT ACCEPT [0]
REROUTING ACCEPT [0]
OSTROUTING ACCEPT [0]
COMMIT
# Completed



我用webmin添上了“-A RH-Firewall-1-INPUT -p tcp -m tcp -m state --dport 20 --state NEW -j ACCEPT”这句，并把“-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT”从开始几行处移到新增行的后边。

确认修改并应用之后，仍出现以前的问题。

请您帮忙，谢谢！

我用的Linux是Redhat Enterprise 3