🚀 go-pugleaf

Dnia Fri, 17 Oct 2008 06:33:44 -0700 (PDT), 8macius7@gmail.com napisał(a):

> Dalej nie wiem jak chcesz to zrobic. Przeciez czlowieczek laczacy sie
> zza nata przekierowywany jest na 127.0.0.1 (ftp-proxy). Nastepnie ftp-
> proxy negocjuje polaczenie i dodaje do kotwicy regule, ktora umozliwia
> polaczenie z serverem?

A widzisz i tu mnie masz. Nie pomyślałem o tym. Rozwiązaniem tego
mogłoby być użycie kilku instancji ftp-proxy, każda instancja pracująca
na innym użytkowniku i na innym porcie i obsługująca tylko jedno ip
z sieci lokalnej.

Wtedy w pf robisz redirect dla kazdego ip na inna instancje ftp-proxy, np:
rdr on $int_if proto tcp from 192.168.1.10 to any port 21 -> 127.0.0.1 port 8021
rdr on $int_if proto tcp from 192.168.1.11 to any port 21 -> 127.0.0.1 port 8022
[...]

Ftp-proxy uruchamiasz na różnych użytkownikach, np: user1, user2 itp.
W pf.conf nie używasz anchorów tylko dodajesz stałe reguły filtrowania
w których używasz parametru 'user user1', 'user user2' itp., do tych
reguł oczywiście dodajesz kolejki takie jakie chcesz i problem uploadu
powinien byc rozwiazany.

Do kolejek downloadowych to wrzucasz przy pomocy
pass in quick on $int_if inet proto tcp from 192.168.1.10 to any port 21 keep-state queue kolejka1 
(zauwaz ze rdr nie mają quick i dzieki keep-state tutaj powrotny ruch wpadnie
do kolejki) albo przy pomocy parametru -q dla ftp-proxy.

Problemem jest tylko uruchomienie ftp-proxy na dowolnym użytkowniku,
gdyż domyślnie ftp-proxy zrzuci przywileje na rzecz użytkownika 'proxy'.
Pozwoliłem sobie zrobić małego patcha:
http://slimaczek.pl/tmp/ftp-proxy.multiuser.path

Po zbudowaniu ftp-proxy dostaniesz dodatkowy parametr: -u user
Przykładowo:
# cd /usr/obj/usr/src/usr.sbin/ftp-proxy/ftp-proxy
# ./ftp-proxy -u tomek -p 8021
# ./ftp-proxy -u game  -p 8022

procesy ftp-proxy zostały uruchomione na różnych użytkownikach
# ps -aux | grep ftp-proxy
tomek    3504  0.0  0.0  4600  1124  ??  Ss   11:08AM   0:00.00 ./ftp-proxy -u tomek -p 8021
game     3516  0.0  0.0  4600  1124  ??  Ss   11:09AM   0:00.00 ./ftp-proxy -u game -p 8022

i grzecznie nasłuchują:
# sockstat -4 | grep ftp-proxy
game     ftp-proxy  3516  3  tcp4   127.0.0.1:8022        *:*
tomek    ftp-proxy  3504  3  tcp4   127.0.0.1:8021        *:*

Czy całość jednak zadziała to nie mam w tej chwili jak sprawdzić,
gdybyś miał problemy to daj znać.

-- 
Tomek