Dotaz: iptables -> port filtered

[B0biN]

Zdravim, poradte. Mam nastavene pravidlo pro presmerovani portu do vnitrni site a nasledne ten port povoluji na vnejsim rozhrani:

[root@]# iptables -L |grep 5900
ACCEPT tcp -- anywhere anywhere tcp dpt:5900
ACCEPT tcp -- anywhere 192.168.1.10 tcp dpt:5900

ale z venku :o(((((:
[root@]# nmap -sT -p 5900 X.X.X.X

Starting nmap V. 3.00 ( www.insecure.org/nmap/ )
Interesting ports on neco.neco.cz (X.X.X.X):
Port State Service
5900/tcp filtered vnc

pravidla pouzivam tyhle:
$IPTABLES -t nat -A PREROUTING -p tcp --dport 5900 -d $INET_IP -j DNAT --to 192.168.1.10:5900
$IPTABLES -A FORWARD -i $INET_IFACE -o $LAN1_IFACE -p tcp -d 192.168.1.10 --dport 5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -i $INET_IFACE -p TCP --dport 5900 -j ACCEPT diky

Odpovědi

[B0biN]

Nedelal jsem zadne velke upravy, tak nechapu proc to prestalo fungovat :o(

[Miroslav Petříček]

To první pravidlo je OK. To druhé stačí takhle: $IPTABLES -A FORWARD -i $INET_IFACE -o $LAN1_IFACE -p tcp -d 192.168.1.10 --dport 5900 -j ACCEPT tohle není potřeba: $IPTABLES -A INPUT -i $INET_IFACE -p TCP --dport 5900 -j ACCEPT Předpokládám, že máte povolený opačný směr: $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

[B0biN]

Zkousel jsem, ale porad je port filtered, pro jistotu prikladam cely script, diky za pomoc: http://www.volny.cz/stawebnice/firewall/fw-on btw: vynatky v Vaseho scriptu p. Petricek -> dekuji

[Miroslav Petříček]

Je v logu nejaky odmitnuty paket?

[B0biN]

Do logu ani tuk :o( I kdyz zkusim telnet X.X.X.X 5900 tak to stoji a nic :o( kdzby alespon neco do toho logu, tak by se dalo neceho chytnout ... jak zapnout debug log ..???

[Miroslav Petříček]

To nevypadá na problém firewallu. Spíš špatně zkonfigurovaný druhý počítač (gateway, apod.). Zkusil bych použít tcpdump.

[B0biN]

jj to uz me take napadlo, mravenci prace, hold ne vzdycky je to chleba s povidly, diky za pomoc, jdu se hrabat v paktech :o)

[B0biN]

haleluja, zlaty tcpdump, ze me to nenapadlo driv, ten mi prozradil ze ten FORWARD funguje tak jak ma, zrejme na tom stroji ucnitr site nebude nastavena vyzhozi brana na ten router ... clovek by potrebovat takovych kopancu vic a cateji, teda alespon co se tyce me :o) jeste jednou diky.