abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 13:22 | Zajímavý článek

Na stránkách spolku OpenAlt vyšel Rozhovor s Jaroslavem Tulachem o GraalVM – o kompilátoru umožňujícím v jednom programu kombinovat různé jazyky (Java, JavaScript, Ruby, R, C, C++, Fortran, Rust aj.), překládat do nativních binárek nebo si snadno vytvořit vlastní jazyk a použít při tom stávající ekosystém (debugger, profiler, IDE atd.).

xkucf03 | Komentářů: 0
dnes 11:55 | Komunita

Bylo spuštěno předobjednávání linuxových chytrých telefonů PINEPHONE v limitované edici BraveHeart. Cena telefonu je 149 dolarů. Cena dopravy do Česka je 15 dolarů. Telefony by mely být odesílány na přelomu prosince a ledna.

Ladislav Hagara | Komentářů: 9
dnes 02:22 | Pozvánky

Fedora 31 Release Party, tj. oslava nedávného vydání Fedory 31, se uskuteční ve středu 20. listopadu v Brně. Program přednášek bude upřesněn.

Ladislav Hagara | Komentářů: 1
dnes 01:11 | Nová verze

Příspěvek na blogu webové aplikace pro spolupráci na zdrojových kódech pomocí gitu Gitea (Wikipedie) představuje novinky a ukazuje náhledy nové major verze 1.10.0 této v programovacím jazyce Go naprogramované aplikace. Nově jsou například vedle sebe zobrazovány původní a nové verze obrázků.

Ladislav Hagara | Komentářů: 0
včera 22:33 | IT novinky

Společnost Docker stojící za stejnojmennou kontejnerovou technologií čelila vážným finančním problémům. Stávající investoři do ní ale vložili dalších 35 milionů dolarů a společnost Mirantis odkoupila Docker Enterprise.

Ladislav Hagara | Komentářů: 0
včera 16:11 | IT novinky

Od 24. listopadu bude možné předobjednat přenosný počítač Pocket Popcorn Computer (Pocket P.C.) s 1.2 GHz Quad-Core ARM Cortex-A53 CPU, 2GB DDR3 RAM, 32GB eMMC Memory, 4.95" Full HD IPS LCD a 3200 mAh Removable Battery. Počítač by měl být odesílán v květnu 2020. Předinstalován by měl být Debian 10.

Ladislav Hagara | Komentářů: 78
včera 11:11 | Komunita

Canonical věnoval nadaci UBports další telefony a tablety pro podporu vývoje Ubuntu Touch, tj. Ubuntu pro telefony a tablety. Vybraní vývojáři Ubuntu Touch je mohou získat zdarma.

Ladislav Hagara | Komentářů: 13
včera 09:33 | Zajímavý projekt

Společnost GitHub v rámci svého GitHub Archive Programu vytvoří několik off-line záloh open source softwaru nacházejícího se na GitHubu pro budoucí generace. První taková záloha všech aktivních repozitářů proběhne 2. února 2020 ve spolupráci se společností Pigl na jejich piqlFilmy a uložena bude v Arktickém světovém archivu. Případné obnovení ze zálohy by mělo být možné i za 1 000 let.

Ladislav Hagara | Komentářů: 7
včera 05:55 | Nová verze

Dnes a zítra probíhá v Praze konference Internet a Technologie 19 pořádaná sdružením CZ.NIC. Sledovat ji lze online.

Ladislav Hagara | Komentářů: 1
13.11. 19:44 | Nová verze

Brendan Eich, mj. autor JavaScriptu a několikadenní CEO Mozilly, představil v lednu 2016 webový prohlížeč Brave (Wikipedie, GitHub). Dnes byla vydána verze 1.0 tohoto webového prohlížeče. K dispozici jsou také balíčky pro Linux.

Ladislav Hagara | Komentářů: 11
Jaké hodinky nosíte (nejčastěji)?
 (25%)
 (7%)
 (14%)
 (54%)
Celkem 169 hlasů
 Komentářů: 11, poslední dnes 11:52
Rozcestník

www.AutoDoc.Cz

Dotaz: iptables forward portu na jinou IP

25.8. 14:22 RadekXxX | skóre: 7
iptables forward portu na jinou IP
Přečteno: 234×
Zdravím,

mam router s venkovní adresou $INET_IP a vnitřní adresou 192.168.1.1, druhý server na vnitřní síti s adresou 192.168.1.2 má službu na portu 8008 a potřebuji aby tato služba byla dostupná odevšud. Na obou serverech je v iptables default policy ACCEPT. Na routeru je nastaveno:
iptables -t nat -A PREROUTING -p tcp --dport 8008 -j DNAT --to 192.168.1.2:8008
iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP   
Připojení z jiného stroje z vnitřní sítě funguje, i připojení z internetu funguje, ale pokud se chci připojit přímo z toho routeru pomocí doménového názvu veřejné IP, tak to nejde, nemůžu použít přímo adresu toho stoje, protože je nutné zadat doménový název kvůli certifikátu.

Řešení dotazu:


Odpovědi

25.8. 15:02 NN
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP
Tohle, tam nema co delat.
25.8. 15:21 RadekXxX | skóre: 7
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
Když to oddělám, tak to nepomůže, navíc přestane fungovat připojení z ostatních strojů z lokální sítě.
Řešení 1× (Filip Jirsák)
25.8. 16:02 NN
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
DNAT z venku je v poradku. SNAT na verejnou IP uz ne. Spravne si na routeru mas nastavit staticke DNS, ktere bude zarizenim na vnitrni siti vracet mojedomena.cz = 192.168.1.2 . Lokalni komunikace pres router vubec nepujde. Stejne tak si to prelozi i router. Ted zjisti, ze mojedomena.cz je on sam, ale na portu 8008 ni nebezi a tak to zahodi.
25.8. 22:57 RadekXxX | skóre: 7
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
Dekuji za radu, vyresil jsem to pres BIND, toto reseni me vubec nenapadlo, je funkcni, akorat se musi myslet na to, ze nenastavuji pravidla v jednom scriptu pro iptables, ale musim upravovat i zonovy soubor.
25.8. 19:15 Michal Kubeček | skóre: 71 | Luštěnice
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP

Má to tam co dělat, jinak odpověď pro klienty ve vnitřní síti půjde přímo a nepřeloží se jak má (pokud se to neobejde tím trikem s DNS, ale to taky není ideální). Problém je ale v tom, že obě ta pravidla jsou příliš obecná. Takže bych navrhoval spíš něco jako

  iptables -t nat -A PREROUTING -i $INTIF -d $EXTIP -p tcp --dport 8008 \
      -j DNAT --to 192.168.1.2:8008
  iptables -t nat -A POSTROUTING -i $INTIF -d 192.168.1.2 -j SNAT --to $INTIP
(INTIF je vnitřní rozhraní, INTIP vnitřní adresa a EXTIP vnější adresa). Kdysi dávno jsem tu na toto téma sepsal celý dokument.
25.8. 19:55 NN
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
V tom pripade bude potreba jeste znovu pokryt DNAT z venku.. Nevim, osobne povazuji reseni pres DNS za cistsi a nemusi to byt nutne pohledy v bindu. Nektere routery tuto funkcionalitu primo nabizi. Obecne souhlasim s nazorem v clanku, ze server v LAN nema co delat. K tomu slouzi DMZ, nebo samostatny serverovy segment.
25.8. 21:12 Michal Kubeček | skóre: 71 | Luštěnice
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
V tom pripade bude potreba jeste znovu pokryt DNAT z venku..

Eh, to byla chyba, v tom prvním pravidle nemělo být "-i $INTIF" (a nebo by bylo potřeba přidat ještě druhé pro $EXTIF).

25.8. 22:50 RadekXxX | skóre: 7
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
Ono se nejedná úplně o router, je to klasický server s Proxmoxem, volnou IP adresu pro ten stroj kam se to má směrovat bych měl, ale nechtěl jsem ji na to vyplácat, protože se jedná o samostatný server, který slouží "jenom" k zálohování, běží tam Restic server v režimu append-only a firewall povoluje pouze jeden port 8008, nic víc, ani ssh.
25.8. 22:40 RadekXxX | skóre: 7
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
Já jsem ty pravidla měl nastaveny striktně, ale jelikož jsem řešil tento problém, tak jsem je hodně "uvolňoval", včetně default policy ACCEPT, ale to vše jenom pro testování, abych eliminoval možně chyby v iptables (z mé strany)
Řešení 1× (Filip Jirsák)
25.8. 23:26 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
Pakety z lokálních procesů nejdou v nat tabulce přes PREROUTING, místo toho jdou přes OUTPUT. Takže pokud chcete, aby vám ten forward fungoval i přímo z toho routeru s veřejnou IP adresou, musíte to DNAT pravidlo zopakovat ještě jednou pro řetězec OUTPUT.

Zda pro lokální síť přepisovat DNS nebo použít SNAT je otázka – když použijete SNAT, zatěžujete tou komunikací router. Řešení s DNS bývalo dříve jednodušší, teď vám to může zkomplikovat DNSSEC – pokud ho máte na doméně nasazený, budete muset podepisovat i ty záznamy pro lokální síť. Ne že by to bylo neřešitelné, ale je to komplikace a nejspíš to bude znamenat, že se musíte vzdát automatické správy klíčů DNS serverem a řešit to ručně.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.