很奇怪的问题啊，iptables引起ftp登陆速度变慢

jkm

没有用iptables的时候，ftp登陆很快（从别的机器登陆），命令一打完马上就跳出来了。
但用了iptables就不行了，要过十来秒钟才会跳出登陆信息。反复修改iptables,发现加了这么一句
/sbin/iptables -A INPUT -i eth0 -p tcp -s $FW_IP2/22 --dport 1024:65536 -j ACCEPT
就可以了，应该是passive mode FTP 资料通道的问题吧。为了尽可能的提高安全性能。我就对这句语句做了些修改,如下:
/sbin/iptables -A INPUT  -i eth0 -p tcp -s $FW_IP2/22 --dport 1024:65535 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -p tcp ! --syn --sport 1024:65535 -d $FW_IP2/22 -j ACCEPT
发现还是很慢
再改
/sbin/iptables -A INPUT  -i eth0 -p tcp -s $FW_IP2/22 --dport 1024:65535 -j ACCEPT
/sbin/iptables -A OUTPUT -o eth0 -p tcp --sport 1024:65535 -d $FW_IP2/22 -j ACCEPT
终于很快了。。。
但是我还是不明白，为什么加一个检验是否为非主动连接就会变慢这么多呢？
有没有什么解决办法？

jkm

如果这个问题不能解决，那不是要开ftp的服务器是不是都必须开1024:65535的端口？那不是很成问题？

manux

# Incoming request

            iptables -A INPUT -i $EXTERNAL_INTERFACE -p TCP \
                --sport $UNPRIVPORTS --dport 21 -s $MY_FTP_CLIENTS -d $EXTERNAL_IP -j ACCEPT

            iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p TCP -m state --state ESTABLISHED,RELATED \
                --sport 21 --dport $UNPRIVPORTS -s $EXTERNAL_IP -d $MY_FTP_CLIENTS -j ACCEPT

            # Normal Port mode FTP data channel responses

            iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p TCP \
                --sport 20 --dport $UNPRIVPORTS -s $EXTERNAL_IP -d $MY_FTP_CLIENTS -j ACCEPT

            iptables -A INPUT -i $EXTERNAL_INTERFACE -p TCP -m state --state ESTABLISHED,RELATED \
                --sport $UNPRIVPORTS --dport 20 -s $MY_FTP_CLIENTS -d $EXTERNAL_IP -j ACCEPT

            # Passive mode FTP data channel responses

            iptables -A INPUT -i $EXTERNAL_INTERFACE -p TCP \
                --sport $UNPRIVPORTS --dport $UNPRIVPORTS -s $MY_FTP_CLIENTS -d $EXTERNAL_IP -j ACCEPT

            iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p TCP -m state --state ESTABLISHED,RELATED \
                --sport $UNPRIVPORTS --dport $UNPRIVPORTS -s $EXTERNAL_IP -d $MY_FTP_CLIENTS -j ACCEPT

jkm

呵呵，总算成功了，关键是一个113端口（验证），加了这个就行了

zhongweixiaoye

我也开了113端口 怎么感觉怎么变快啊  还是一样啊

zhongweixiaoye

不好意思  是没有变快 还是以前一样 要等30秒

zhongweixiaoye

请问你那个端口是怎么开的 能吐露一下命令吗 ？  谢谢！

suvi

不知你解决了没有，今天我也碰到这么个问题
修改 /etc/ssh/sshd_conf
修改
UseDNS no

保存，后
service sshd restart
即可