Forum Debian Users Gang

A przypadkiem nie przechodziłeś z kernela 2.6.1* ?
Bo z tego co pamiętam niektóre opcje w 2.6.2* są w innych miejscach.

//edit
Jeśli na powyższe pytanie odpowiedziałeś twierdząco...to read this http://forum.dug.net.pl/viewtopic.php?id=8487 ;)

Pzdr.

Ostatnio edytowany przez mi5tic (2008-03-07 12:56:56)

Ja bym zrobił tak:

WAN = eth0
IP_PUB = 55.55.55.55
LAN = eth1
PORT = 22
HOST = 192.168.0.2

modprobe ip_nat_ftp

iptables -F
iptables -X
iptables -t nat F
iptables -t nat X
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -p tcp --dport $PORT -j ACCEPT
iptables -A INPUT -p udp --dport $PORT -j ACCEPT


iptables -t nat -A PREROUTING -i $WAN -p tcp --dport $PORT -j DNAT --to-destination $HOST:$PORT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d $IP_PUB -p tcp --dport $PORT -j SNAT --to $HOST
iptables -t nat -A PREROUTING -i $WAN -p udp --dport $PORT -j DNAT --to-destination $HOST:$PORT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d $IP_PUB -p udp --dport $PORT -j SNAT --to $HOST

i mi działa bardzo dobrze.

a czy przypadkiem nie trzeba:
1. zezwolic na przekazywanie pakietow wpisujac 1 do /proc/sys/net/ipv4/conf/all/forwarding
2. zezwolic na przekazywanie pakietow w iptables

bo przecierz taki pakiet nie idzie do procesu lokalnego (INPUT) tylko jest przekazywany (FORWARD), polecam obrazek http://xkr47.outerspace.dyndns.org/netfilter/packet … ket_flow9.png

pozatym (na ogol) trzeba umozliwic przeslanie odpowiedzi od kompa w sieci wewnetrznej

Spróbuj może tak:

iptables -F
iptables -X
iptables -t nat F
iptables -t nat X
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -A INPUT -s 0/0 -d ip.ip.ip.ip -p tcp --dport 22 -j ACCEPT

gdzie ip.ip.ip.ip to adres IP kompa na który chcesz kprzekierować port, no i oczywiście
zmień ewentualnie nr portu jeśli chodzi ci o iiny niż dla ssh.

czy ten komputer na ktory forwardujesz port ma udostepniony net (jest dopuszczony w regulach FORWARD) ?

PS pokaz moze caly skrypt a nie jakies skrawki ...

Już nie wiem. Wkleiłem regułki od Ciebie i nic to nie dało. Może mam to w zlej kolejności. Oto moje wpisy:

eth0-wyjsie na świat
eth1-wyjście na LAN

# wlaczenie w kernelu forwardowania 
echo 1 > /proc/sys/net/ipv4/ip_forward
# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
#zmienne
IPW=192.168.34.24
IPZ=192.168.102.102
IPSW=192.168.34.0/24
IPSZ=192.168.102.0/24
# ustawienie polityki dzialania
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
#
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT
#proxy
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128
#porty do LAN
iptables -A INPUT -p tcp --dport 4421 -i eth0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 4421 -j DNAT --to 192.168.34.1
iptables -A INPUT -p udp --dport 4421 -i eth0 -j ACCEPT
iptables -t nat -A PREROUTING -p udp -i eth0 --dport 4421 -j DNAT --to 192.168.34.1
#polaczenia nawiazane
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
# udostepniaie internetu w sieci lokalnej
iptables -t nat -A POSTROUTING -s $IPSW -j MASQUERADE
iptables -A FORWARD -s $IPSW -j ACCEPT

Model sieci:
Modem (porty przekierowane na IP eth0 serwa) -- eth0-serwer-eth1 -- LAN 

Wszystko śmiga (net, proxy) za wyjątkiem tego że nie mogę odblokować portów ludziom w lan np do osiołka.

//Dzięki bercik. Jak wróce do domu to sprawdzę :)

Rozumiem że żeby nie pisać dla każdego usera w sieci tej linijki:

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.1 -j ACCEPT

Mogę zmienić ja na:

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.0/24 -j ACCEPT

Jakie konsekwencje będzie miał ten zapis? Bo jak bardzo ucierpię na bezpieczeństwie to będę pisał tą regułkę dla każdego z osobna :)

Ostatnio edytowany przez Marek_boss (2008-03-09 09:51:18)

Marek_boss napisał(-a):

//Dzięki bercik. Jak wróce do domu to sprawdzę :)

Rozumiem że żeby nie pisać dla każdego usera w sieci tej linijki:

Kod:

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.1 -j ACCEPT

Mogę zmienić ja na:

Kod:

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.0/24 -j ACCEPT

Jakie konsekwencje będzie miał ten zapis? Bo jak bardzo ucierpię na bezpieczeństwie to będę pisał tą regułkę dla każdego z osobna :)

zezwalasz na forwad pakietow z zewnatrz do LANu, ale jako ze nie powinenes otrzymywac z zewnatrz pakietow z adresem docelowym w LANie to efektywnie zezwolisz tylko dla tych dla ktorych robisz DNAT

jezeli robisz MASQUERADE dla calej sieci to:

iptables -t nat -A POSTROUTING -p tcp --dport $PORT -j SNAT --to-source $HOST_NAT

nie bedzie potrzebne

mam nadzieje ze siec zewnetrzna ma adresacje publiczna (a to co podales to tylko dla przykladu) - bo jezeli faktycznie jest to 192.168.102.0/24 to jest ona NATowana i musisz robic dwukrotne przekierowanie ... albo pozbyc sie jednego NATu

do testowania tego czy dziala przekierowanie polecam netcat'a (nc) - na jednym sluchasz na drugim (z zewnatrz) cos prubujesz wyslac ...

Ostatnio edytowany przez bercik (2008-03-09 15:16:04)

Marek_boss napisał(-a):

Czyli rozumiem że

Kod:

iptables -t nat -A POSTROUTING -p tcp --dport $PORT -j SNAT --to-source $HOST_NAT
iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.0/24 -j ACCEPT

załatwi sprawę?

NIE - potrzebujesz DNAT (iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 4421 -j DNAT --to 192.168.34.1),a nie  SNAT (bo to zalatwia MASQUERADE ktora masz)

zreszta ponizej wkleilem komplet regulek ...

Marek_boss napisał(-a):

Bo niektóre porty muszą trafić do serwera na jego IP zew (IPZ) a nie do LAN a logika mi podpowiada, że regułka

Kod:

iptables -A FORWARD -s 0.0.0.0/0 -d 192.168.34.0/24 -j ACCEPT

przekieruje mi cały ruch do LAN-u do sieci 192.168.34.0/24.

caly ruch ktory ma w naglowku adres docelowy IP z LANu - a taki ruch powstaje dopiero po zrobieniu odpoweidniego przekierowania portu przez DNAT wiec reszta leci normalnie do INPUT

#zmienne
IPW=192.168.34.24
IPZ=192.168.102.102
IPSW=192.168.34.0/24
IPSZ=192.168.102.0/24

# wlaczenie w kernelu forwardowania 
echo 1 > /proc/sys/net/ipv4/ip_forward

# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F

# ustawienie polityki dzialania
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# petla zwrotna
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT
#polaczenia nawiazane
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

#proxy
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128
#udostepniaie internetu w sieci lokalnej
iptables -t nat -A POSTROUTING -s $IPSW -j MASQUERADE
iptables -A FORWARD -s $IPSW -j ACCEPT

#porty do LAN
iptables -A FORWARD -s 0.0.0.0/0 -d $IPSW -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 4421 -j DNAT --to 192.168.34.1

Dzięki bercik za cierpliwość :) Już wszystko bangla :)
@bobycop i znowu kompilacja jajca :)