IPTables und vsftp/ssl

[joe.fubar@gmx.com]

Hall Liste,
ich versuch den vsftp mit ssl Unterstüzung über eine IPTables
Firewall anzusprechen, dabei stellt der ssl/ftp Client eine
Verbindung auf einen Unpriviligierten Port her, analog zu
einem gewöhnlichen Client der FTP Aktiv macht nur das das FTP
Con.tracking Modul hier offensichtlich nicht greift.

Alle Hosts hinter der Firewall werden mit NAT angesprochen und da
liegt auch das Problem, es existiert lediglich ein DNAT Eintrag zum
entsprechenden FTP Server, bsp:

iptables -A PREROUTING -d xx.xx.xx.xx -i eth0 -p tcp -m tcp --dport 20 -j DNAT --to-destination 192.168.1.2:20

iptables -A PREROUTING -d xx.xx.xx.xx -i eth0 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.1.2:21

D.h. der ftp/ssl Client läuft ins leere da eine Aktive Verbindung auf
einem Port > 1024 gemacht wird.

Frage, wie kann ich DNAT anweisen alle Ports >1024 1:1 an den internen
Host weiterzuleiten, so was wie:

iptables -A PREROUTING -d xx.xx.xx.xx -i eth0 -p tcp -m tcp --dport 1024:65000 -j DNAT --to-destination 192.168.1.2:1024:65000

leider geht dieses bsp. nicht, hat jemand ne Idee dazu ?

Grüsse
Joe