abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
včera 21:21 | Nová verze Ladislav Hagara | Komentářů: 0
včera 11:44 | Zajímavý projekt

Na Indiegogo byla spuštěna kampaň na podporu herní mini konzole a multimediálního centra RetroEngine Sigma od Doyodo. Předobjednat ji lze již od 49 dolarů. Požadovaná částka 20 000 dolarů byla překonána již 6 krát. Majitelé mini konzole si budou moci zahrát hry pro Atari VCS 2600, Sega Genesis nebo NES. Předinstalováno bude multimediální centrum Kodi.

Ladislav Hagara | Komentářů: 0
včera 00:10 | Nová verze

Byla vydána verze 4.7 redakčního systému WordPress. Kódové označením Vaughan bylo vybráno na počest americké jazzové zpěvačky Sarah "Sassy" Vaughan. Z novinek lze zmínit například novou výchozí šablonu Twenty Seventeen, náhledy pdf souborů nebo WordPress REST API.

Ladislav Hagara | Komentářů: 1
6.12. 12:00 | Zajímavý projekt

Projekt Termbox umožňuje vyzkoušet si linuxové distribuce Ubuntu, Debian, Fedora, CentOS a Arch Linux ve webovém prohlížeči. Řešení je postaveno na projektu HyperContainer. Podrobnosti v často kladených dotazech (FAQ). Zdrojové kódy jsou k dispozici na GitHubu [reddit].

Ladislav Hagara | Komentářů: 24
6.12. 11:00 | Bezpečnostní upozornění

Byly zveřejněny informace o bezpečnostní chybě CVE-2016-8655 v Linuxu zneužitelné k lokální eskalaci práv. Chyba se dostala do linuxového jádra v srpnu 2011. V upstreamu byla opravena minulý týden [Hacker News].

Ladislav Hagara | Komentářů: 2
5.12. 22:00 | Komunita

Přibližně před měsícem bylo oznámeno, že linuxová distribuce SUSE Linux Enterprise Server (SLES) běží nově také Raspberry Pi 3 (dokumentace). Obraz verze 12 SP2 pro Raspberry Pi 3 je ke stažení zdarma. Pro registrované jsou po dobu jednoho roku zdarma také aktualizace. Dnes bylo oznámeno, že pro Raspberry Pi 3 je k dispozici také nové openSUSE Leap 42.2 (zprávička). K dispozici je hned několik obrazů.

Ladislav Hagara | Komentářů: 6
5.12. 06:00 | Zajímavý software

OMG! Ubuntu! představuje emulátor terminálu Hyper (GitHub) postavený na webových technologiích (HTML, CSS a JavaScript). V diskusi k článku je zmíněn podobný emulátor terminálu Black Screen. Hyper i Black Screen používají framework Electron, stejně jako editor Atom nebo vývojové prostředí Visual Studio Code.

Ladislav Hagara | Komentářů: 50
5.12. 06:00 | Zajímavý článek

I letos vychází řada ajťáckých adventních kalendářů. QEMU Advent Calendar 2016 přináší každý den nový obraz disku pro QEMU. Programátoři se mohou potrápit při řešení úloh z kalendáře Advent of Code 2016. Kalendáře Perl Advent Calendar 2016 a Perl 6 Advent Calendar přinášejí každý den zajímavé informace o programovacím jazyce Perl. Stranou nezůstává ani programovací jazyk Go.

Ladislav Hagara | Komentářů: 10
3.12. 16:24 | Nová verze

Byla vydána Mageia 5.1. Jedná se o první opravné vydání verze 5, jež vyšla v červnu loňského roku (zprávička). Uživatelům verze 5 nepřináší opravné vydání nic nového, samozřejmě pokud pravidelně aktualizují. Vydání obsahuje všechny aktualizace za posledního téměř půldruhého roku. Mageia 5.1 obsahuje LibreOffice 4.4.7, Linux 4.4.32, KDE4 4.14.5 nebo GNOME 3.14.3.

Ladislav Hagara | Komentářů: 17
3.12. 13:42 | Pozvánky

V Praze probíhá konference Internet a Technologie 16.2, volné pokračování jarní konference sdružení CZ.NIC. Konferenci lze sledovat online na YouTube. K dispozici je také archiv předchozích konferencí.

Ladislav Hagara | Komentářů: 0
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (8%)
 (5%)
 (3%)
Celkem 785 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: IPTABLES - router / nejde outbound provoz

11.1.2013 14:37 Lukas
IPTABLES - router / nejde outbound provoz
Přečteno: 281×
Dobrý den,

prosím o radu s IPTABLES. Mám následující sadu pravidel:
iptables -t nat -A PREROUTING -p tcp --dport 22 -j DNAT --to 10.0.10.10
iptables -A FORWARD -p tcp -d 10.0.10.10 -j ACCEPT
která mi příchozí provoz na portu 22 routeru natuje na 10.0.10.10. To funguje.

Když ale potřebuju z 10.0.10.10 připojit se ven (např. apt-get update) tak mi to hlásí, že cannot fetch... Přitom ale třeba ping seznam.cz mi jde bez problémů.

Nevíte, jak nastavit IPTABLES, aby mi fungovat i outbound provoz, popř. co jiného nastavit? IP forwarding na routeru zapnutý mám.

Díky...

Odpovědi

H0ax avatar 11.1.2013 14:49 H0ax | skóre: 36 | blog: Odnikud_nikam
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
tohle asi nebude celej firewall, že? je potřeba to vidět celý
LinuxWay | blog |  LiCo
11.1.2013 15:28 NN
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Pravdepodobne to budes potrebovat natovat is smerem ven..
11.1.2013 20:33 Lukas
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Tohle je můj iptables.

Jinak metodou pokus-omyl jsem přišel na to, že když zruším to natování portu 80, tak mi jde i provoz ven, tzn. apt-get update začne fungovat. Jak bych to měl pořešit, aby to šlo i bez toho rušení pravidla pro port 80?

Moc díky za rady...
*mangle
:PREROUTING ACCEPT [2609:962748]
:INPUT ACCEPT [1005:199941]
:FORWARD ACCEPT [1604:762807]
:OUTPUT ACCEPT [984:162785]
:POSTROUTING ACCEPT [2527:917800]
COMMIT
*filter
:INPUT ACCEPT [737:177725]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [923:154993]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -m state --state NEW -j ACCEPT
-A FORWARD -i eth0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth0 -j ACCEPT
-A FORWARD -d 10.0.10.10/32 -p tcp -j ACCEPT
-A FORWARD -d 10.0.10.11/32 -p tcp -j ACCEPT
-A FORWARD -d 10.0.10.12/32 -p tcp -j ACCEPT
-A FORWARD -d 10.0.10.13/32 -p tcp -j ACCEPT
-A FORWARD -d 10.0.10.14/32 -p tcp -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [4:288]
:INPUT ACCEPT [1:89]
:OUTPUT ACCEPT [7:543]
:POSTROUTING ACCEPT [1:62]
-A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.0.10.10:80
-A PREROUTING -p tcp -m tcp --dport 8080 -j DNAT --to-destination 10.0.10.11.6:80
-A POSTROUTING -o eth0 -j MASQUERADE
11.1.2013 22:14 NN
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Aha, to vypada, ze se ten NAT aplikuje pred maskaradou i na odchozi provoz, zkus do pravidla pridat jako zdrojove venkovni rozhrani eth0 tedy takto:
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.0.10.10:80
12.1.2013 09:28 Lukas
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Diky,

a neslo by to nejak nahradit spise aby se natovaly jen prichozi pakety v vnejsi IP adresy? S tim rozhranim to bude trosicku problem, protoze to mam trosicku zamotane a na eth0 je vsechno.
MMMMMMMMM avatar 12.1.2013 09:38 MMMMMMMMM | skóre: 41 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
to by mne zajímalo, jak vypadá tvá topologie sítě :)
12.1.2013 10:08 Lukas
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Divně. Je to jedna z VM, která je na hostovi a má jen eth0. Slouží mi jako router jen pro ostatní VM. Jinak mi pomohla změna pravidla u portu 80 na:
-A PREROUTING -p tcp -m tcp --dport 80 ! -s 10.0.0.0/16 -j DNAT --to-destination 10.0.100.10:80
11.1.2013 22:20 Michal Kubeček | skóre: 71 | Luštěnice
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Celá ta konfigurace je tak nějak divná, ale bez znalosti toho, které rozhraní vlastně kam vede a jak jsou nastavené adresy, těžko odhadovat, co konkrétně je špatně a jak by to mělo být správně. V každém případě jsou hodně podezřelá ta DNAT/FORWARD pravidla, u kterých ani neřešíte, odkud kam ten paket vlastně jde, a FORWARD pravidla s "-i eth0 -o eth0". Ne že by principiálně nešlo routovat paket na rozhraní, odkud přišel, ale je při tom potřeba být hodně opatrný a u firewallu bych se do toho už vůbec nepouštěl.
pavlix avatar 12.1.2013 16:30 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
PREROUTING pravidla máš špatně. Téměř nikdy nemá smysl PREROUTING pravidlo filtrovat pouze podle portu. Rozbije ti to veškerý směrovaný provoz na daný port, bez ohledu na to, kam ten port skutečně vede.

Internetovou službu musíš identifikovat IP adresou a portem.
-t nat -A PREROUTING -d cílová-adresa -p transportní-protokol --dport cílový-port -j DNAT ...
Bohužel i další pravidla v tvém firewallu vypadají dost nesmyslně, takže by zřejmě bylo potřeba nastudovat, jak to skutečně funguje.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
pavlix avatar 12.1.2013 16:32 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Nezkoumal jsem úplně účel těch pravidel, takže možná ti radím špatně, ale bez dalších informací to lépe nepůjde.

Každopádně u každého pravidla musíš specifikovat, čeho přesně se má týkat. Když to dostatečně nespecifikuješ, tak se pak nesmíš divit, že zabíjíš legitimní traffic.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
12.1.2013 21:54 Lukas
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
Dík určitě by mi pomohlo si k tomu něco nastudovat. Že lamím, s tím souhlasím. Je k tomu nějaká dobrá literatura? Z manuálu k iptables moc moudrý nejsem...
12.1.2013 22:51 li737 | skóre: 8
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
tady je 1. část pěkného článku, má 4 díly.
pavlix avatar 13.1.2013 13:27 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: IPTABLES - router / nejde outbound provoz
No nevím, já používám manuál a zbytek už mám tak nějak rozmyšlený nebo mám už v hlavě takový ten velký graf (google: netfilter diagram).

Takže třeba řetěz PREROUTING pracuje s pakety, které přišli zvenčí hned na začátku zpracovávání, když ještě ani není rozhodnuto, zda jsou určeny pro daný stroj (INPUT) či nikoliv (FORWARD).

Tudíž pokud do PREROUTING hodím pravidlo, které chytá TCP pakety s cílovým portem 80, tak můžu chytit obrovskou spoustu věcí. Spíš je to o tom, pořádně pochopit, co po tom člověk vlastně chce a zda to jde specifikovat pomocí zdrojových a cílových interface, případně zdrojových a cílových adres, apod.

Jinak odkazovaný článek vypadá dobře.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.