iptablesのnatででftpのPASVモードを通す

以前にiptablesでNATを組んでいたんですが、なぜかFTPのパッシブモード(PASV)が通らなくて困ってしまいました。デバッグモードで通信を眺めてみるとコントロールコネクションは開くのですが、データコネクションが開かないようです。これはどうもNATの設定が怪しいとしか思えないので、いろいろググって調べてみたところ、ちょうど下記のエントリを見つけました。この手順に従って２つのモジュールをロードしたところ正常に通信できるようになりました。

iptablesでftpを通す

iptablesでFTPを通すには20番ポートと21番ポートをあけるだけではpassive modeのFTPはうまく通してくれません。ip_conntrack_ftpとip_nat_ftp二つのモージュールをロードする必要があります。（ip_nat_ftpは必須ではないかも・・・）

[root@www etc]# modprobe ip_conntrack_ftp [root@www etc]# modprobe ip_nat_ftp

さらに設定が消えないようにに下記の定義を追加しました。

/etc/sysconfig/iptables-config

考えたらFTPは相手先にIPやポートを直接通知しちゃうので、その部分を強制的に書き換えてあげる必要があるんですね。
このあたりの事情はiptablesチュートリアルの「複雑なプロトコルとコネクション追跡」あたりを読むとよくわかります。