IP-SEC服务器FTP端口转发至外部FTP服务器的实现咨询

核心问题分析 #

你只配置了FTP控制端口（21）的DNAT规则，但FTP分主动模式和被动模式，两种模式都需要对应的数据端口转发支持，仅处理21端口无法完成完整的FTP会话。另外需确认IPsec服务器是否开启了IP转发功能，这是数据包转发的前提。

具体配置步骤 #

1. 开启IP转发
   临时生效（重启后失效）：

   echo 1 > /proc/sys/net/ipv4/ip_forward
   

   永久生效：
   修改/etc/sysctl.conf文件，确保以下配置项值为1：

   net.ipv4.ip_forward = 1
   

   执行sysctl -p加载新配置。

2. 完善FTP控制端口DNAT规则
   保留你的原有规则，替换为实际的外部FTP服务器IP：

   iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to-destination 外部FTP服务器IP:21
   

3. 处理FTP被动模式的端口需求
   FTP被动模式下，服务器会使用随机数据端口（通常为1024-65535），可通过内核模块自动追踪会话：

   • 临时加载模块：

     modprobe nf_conntrack_ftp
     

   • 永久加载（重启后生效）：
     在/etc/modules-load.d/modules.conf中添加一行：nf_conntrack_ftp

   如果外部FTP服务器配置了固定的被动端口范围（例如50000-51000），直接添加端口转发规则：

   iptables -t nat -A PREROUTING -p tcp --dport 50000:51000 -j DNAT --to-destination 外部FTP服务器IP:50000:51000
   

4. 配置SNAT规则确保回包正常
   需将转发请求的源地址替换为IPsec服务器的隧道侧IP，否则外部FTP服务器无法将数据回传给客户端：

   iptables -t nat -A POSTROUTING -p tcp -d 外部FTP服务器IP --dport 21 -j SNAT --to-source IPsec服务器隧道侧IP
   

   若使用固定被动端口范围，需补充对应规则：

   iptables -t nat -A POSTROUTING -p tcp -d 外部FTP服务器IP --dport 50000:51000 -j SNAT --to-source IPsec服务器隧道侧IP
   

验证方法 #

• 在客户端执行ftp IPsec服务器IP，尝试登录、上传/下载文件，检查会话是否完整。
• 用iptables -t nat -L -n查看规则是否正确加载。
• 查看IPsec服务器系统日志（如/var/log/messages或/var/log/syslog），排查数据包拦截情况。

内容的提问来源于stack exchange，提问作者Ali Ahmed