Dotaz: iptables a telnet

[likeapear]

Ahoj, potrebuji spravovat svuj domácí router (asus wl-500g) z prace pomoci telnetu. protoze nemam verejnou IP presmeroval mi muj provider tyto porty na muj router:

tcp 1194 tcp 1195 tcp 1196 tcp 1197 tcp 1198 tcp 1199

Na portu 1199 jede http server (thttpd) Na portu 23 jede telneti demon (telnetd)

pomoci iptables delam toto:

iptables -D INPUT -j DROP iptables -A INPUT -p tcp --dport 1199 -j ACCEPT iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1199 -j DNAT --to-destination $4:1199 iptables -A INPUT -p tcp --dport 1198 -j ACCEPT iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1198 -j DNAT --to-destination $4:23 iptables -A INPUT -j DROP

Ale ten telnet z prace nefunguje (http server jo). Zkousim to z windows prikazem "telnet xxx.xxx.xxx.xxx 1198".

Nevite v cem je problem?

Diky

Odpovědi

[likeapear]

Malinko jsem to upravil aby to bylo human readable

Ahoj, potrebuji spravovat svuj domácí router (asus wl-500g) z prace pomoci telnetu. protoze nemam verejnou IP presmeroval mi muj provider tyto porty na muj router:

tcp 1194

tcp 1195

tcp 1196

tcp 1197

tcp 1198

tcp 1199

Na portu 1199 jede http server (thttpd) Na portu 23 jede telneti demon (telnetd)

pomoci iptables delam toto:

iptables -D INPUT -j DROP

iptables -A INPUT -p tcp --dport 1199 -j ACCEPT

iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1199 -j DNAT --to-destination $4:1199

iptables -A INPUT -p tcp --dport 1198 -j ACCEPT iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1198 -j DNAT --to-destination $4:23

iptables -A INPUT -j DROP

Ale ten telnet z prace nefunguje (http server jo). Zkousim to z windows prikazem "telnet xxx.xxx.xxx.xxx 1198".

Nevite v cem je problem?

Diky

[Heron]

Tak především se pokuste nahradit telnet za ssh.

Není problém v nastavení telnet serveru? Tj že odmítá přijímat spojení z určité síťovky / adresy?

[likeapear]

Vim a casem to nahradim to za ssh. Ale ted mi jde o iptables. Je v tom nejaka bota?

[likeapear]

Tak jsem nahradil telnet za ssh (dropbear). Port 23 v iptables nahradil za 22 a stejně to nefunguje...

[Heron]

A jste si jistý, že to přesměrování od vašeho ISP funguje?

Zkuste to na zkoušku napíchnout na ten port, kde teď máte web (o tom víte, že funguje) a vyzkoušejte.

[likeapear]

1199 funguje (je přesměrován), takže počítám že bude fungovat i 1198, když mi to provider napsal. Ale vyzkouším to (večer, teď se tam nedostanu...), třeba je to tím. Dík.

[likeapear]

Takže port je od ISP namapován správně. A zjistil jsem toto: pokud ssh server na svém routeru spustím na portu 1198 (a upravim v iptables 22 na 1198) tak se na něj z venku dostanu. To je super! Ale raději bych aby mi ssh server běžel lokálně na portu 22 a http na 81 a na tyto porty se to v mém routeru přesměrovalo z 1198 a 1199. Jenže nevím jak. Myslel jsem si, že konfigurace, kterou jsem dříve uvedl iptables to řeší...

[Vojta Drbohlav]

A jakej mas ten router?

[likeapear]

asus wl-500g je tam posledni firmware od olega

[Vojta Drbohlav]

Myslim ze to co potrebujes je port forwarding, mrkni sem. Ja muzu treba port 22 z venci presmerovat na urcitou ip vevnitr jako port 2222(i jiny). Mrkni na to, me to pomohlo

[likeapear]

Je ten link správně?

[Vojta Drbohlav]

Neni, oprava. Vyber si tam sluzbu kterou chces presmerovat.

[likeapear]

Zajímavej link. Já to ale potřeboval nastavit manuálně pomocí iptables. Mezitím jsem na to ale přišel. Takhle to má být pokud http server (thttpd) běží na portu 81 a ssh server (dropbear) na portu 22:

#!/bin/sh

ptables -D INPUT -j DROP

iptables -A INPUT -p tcp --dport 81 -j ACCEPT

iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1199 -j DNAT --to-destination $4:81

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -t nat -A PREROUTING -i $1 -p tcp --dport 1198 -j DNAT --to-destination $4:22

iptables -A INPUT -j DROP

[Jiří J.]

Já bych se chtěl ještě dodatecně zetat, zda musí být i na routeru povoleny ony porty 81 a 22, když chain PREROUTING je ještě před INPUTem...
Packet tak projde přes FORWARD a do INPUTu ani nevleze .. pokud se pletu, prosím, opravte mne.

[Michal Kubeček]

V chainu INPUT je samozřejmě povolovat nemusíte, ale musíte příslušnou komunikaci povolit v tom chainu FORWARD, protože proti tomu se pakety testovat budou.