【问题处理】银河麒麟操作系统实例分享，ipelbats转发端口访问ftp目录空白问题处理_iptables ftp 端口转发

系统环境

物理机

网络环境

私有网络

硬件环境

处理器

arm

软件环境

操作系统版本

V10-SP1-0518-arm

内核版本

4.19.90-23.15.ky10.aarch64

# 开启转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 清空iptables
iptables -F
iptables -X
iptables -Z
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat

# 加载模块
modprobe ip_conntrack_ftp port=21,55550
modprobe ip_nat_ftp

#用于将TCP流量的目标端口10021重定向到IP地址为203.40.64.2的主机上的端口21。其中，-t nat选项指定了iptables表为nat表，-A PREROUTING选项指定了规则应用于PREROUTING链，-p tcp选项指定了匹配TCP协议的流量，-d 203.3.105.3选项指定了匹配目标IP地址为203.3.105.3的流量，–dport 10021选项指定了匹配目标端口为10021的流量，-j DNAT选项指定了匹配的流量应该被重定向，–to-destination 203.40.64.2:21选项指定了重定向到的IP地址为203.40.64.2的主机上的端口21。
iptables -t nat -A PREROUTING -p tcp -d 203.3.105.3  --dport 20021 -j DNAT --to-destination 203.40.64.2:21


#用于将TCP流量源地址改为本机地址。其中，-t nat选项指定了iptables表为nat表，-A POSTROUTING选项指定了规则应用于POSTROUTING链，tcp选项指定了匹配TCP协议的流量，–destination 203.40.64.2选项指定了匹配目标IP地址为203.40.64.2的流量，-j MASQUERADE选项指定了匹配的流量源地址应该被改为本机地址。
iptables -t nat -A POSTROUTING tcp --destination 203.40.64.2 -j MASQUEREADE

# 开启转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 清空iptables
iptables -F
iptables -X
iptables -Z
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat

# 加载模块
modprobe nf_conntrack_ftp
modprobe nf_nat
modprobe ip_tables

iptables -t nat -A PREROUTING -p tcp -d 203.3.110.29  --dport 10021 -j DNAT --to-destination 203.40.64.2:21

iptables -t nat -A POSTROUTING tcp --destination 203.40.64.2 -j MASQUEREADE

测试服务器功能

IP地址

vsftpd服务器

192.168.122.210

ftp转发机

192.168.122.117

ftp客户端

192.168.122.176

# 1、关闭和禁用防火墙
systemctl stop firewalld
systemctl disable firewalld

# 2、安装vsftpd
yum install vsftpd

# 3、配置vsftpd.conf
vim /etc/vsftpd/vsftpd.conf

# 4、开启vsftpd
systemctl start vsftpd
systemctl enable vsftpd

anonymous_enable=YES
local_enable=YES
write_enable=YES
local_umask=022
anon_upload_enable=YES
anon_mkdir_write_enable=YES
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=YES
listen_ipv6=NO
pam_service_name=vsftpd
cmds_denied=

pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -F
iptables -X
iptables -Z
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat

modprobe nf_conntrack_ftp
modprobe nf_nat_ftp
modprobe ip_tables

#用于Linux系统的iptables防火墙。第一个命令是将所有TCP协议的10021端口的流量重定向到192.168.122.210的21端口，即将流量从10021端口转发到192.168.122.210的21端口。
iptables -t nat -A PREROUTING -p tcp --dport 10021 -j DNAT --to-destination 192.168.122.210:21

# 将所有目标地址为192.168.122.210的TCP协议流量进行伪装，即将源地址改为防火墙的地址，以便返回流量时可以正确路由回来。
iptables -t nat -A POSTROUTING -p tcp --destination 192.168.122.210 -j MASQUERADE

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -F
iptables -X
iptables -Z
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat


#用于Linux系统的iptables防火墙。第一个命令是将所有TCP协议的10021端口的流量重定向到192.168.122.210的21端口，即将流量从10021端口转发到192.168.122.210的21端口。
iptables -t nat -A PREROUTING -p tcp --dport 10021 -j DNAT --to-destination 192.168.122.210:21

# 转发机上添加转发规则，已知被动端口范围是30000:31000,转发所有客户端目的端口在30000:31000的包，都重定向到192.168.122.210的30000:31000的端口中
iptables -t nat -A PREROUTING -p tcp --dport 30000:31000 -j DNAT --to-destination 192.168.122.210

# 将所有目标地址为192.168.122.210的TCP协议流量进行伪装，即将源地址改为防火墙的地址，以便返回流量时可以正确路由回来。
iptables -t nat -A POSTROUTING -p tcp --destination 192.168.122.210 -j MASQUERADE

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -F
iptables -X
iptables -Z
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat

modprobe nf_conntrack_ftp
modprobe nf_nat_ftp
modprobe ip_tables

sysctl -w net.netfilter.nf_conntrack_helper=1

#用于Linux系统的iptables防火墙。第一个命令是将所有TCP协议的10021端口的流量重定向到192.168.122.210的21端口，即将流量从10021端口转发到192.168.122.210的21端口。
iptables -t nat -A PREROUTING -p tcp --dport 10021 -j DNAT --to-destination 192.168.122.210:21

# 将所有目标地址为192.168.122.210的TCP协议流量进行伪装，即将源地址改为防火墙的地址，以便返回流量时可以正确路由回来。
iptables -t nat -A POSTROUTING -p tcp --destination 192.168.122.210 -j MASQUERADE