Administrace komentářů

Dobry podvecer,

mam router se tremi sitovkami privedeny dve konektivity /kazda s verejnou IP/. Z techto dvou pripojeni routuju na zaklade nastaveni default gw internet do vnitrni site na tretim eth.

Pripojeni ve vnitrni siti chodi. Na problem jsem narazil az v momente, kdy se snazim proroutovat do vnitrni site pristup na FTP server, ktery bezi uvnitr LAN.

Kdyz jsem se zkusil pripojit k FTP na IP adresu routeru z IP adresy stroje, ktery stoji vedle nej s IP adresou o par cisel vyssi/komunikace tedy probihala bez ucasti GW/, tak v poradku. Kdyz jsem zkusil zadat IP adresu druheho pripojeni na routeru, tak bez odezvy. Stejne tak, jako kdyz se snazim na ono FTP pripojit odjinud. Jakmile maji data tect "zvnejsku" /mimo sit, do ktere spada IP adresa/, tak proroutrovani nejde.

Nastaveni routingu:

ip route flush table T1
ip route flush table T2
ip route flush cache

ip route add $P0_NET dev $IF0 src $IP0 table T1
ip route add default via $P0 table T1
ip route add $P1_NET dev $IF1 src $IP1 table T2
ip route add default via $P1 table T2

ip route add $P0_NET dev $IF0 src $IP0
ip route add $P1_NET dev $IF1 src $IP1

ip route add default via $P0
#ip route add default via $P1

ip rule add from $IP0 table T1
ip rule add from $IP1 table T2

ip route add $P2_NET dev $IF2 table T1
ip route add $P2_NET dev $IF2 table T2

Nastaveni firewallu /vybrane podstatne pasaze/:

# Modul pro FTP prenosy
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

# Zapneme routovani paketu
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
echo "0" > /proc/sys/net/ipv4/tcp_ecn

# Implicitni politikou je zahazovat nepovolene pakety
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP


# Proroutrovani FTP
$IPTABLES -t nat -A PREROUTING -p tcp -d $INET1_IP 
--dport 20 -j DNAT --to 10.1.1.2:20
$IPTABLES -A FORWARD -i $INET1_IFACE -o $LAN1_IFACE
 -p tcp -d 10.1.1.2 --dport 20 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p tcp -d $INET2_IP
 --dport 20 -j DNAT --to 10.1.1.2:20
$IPTABLES -A FORWARD -i $INET2_IFACE -o $LAN1_IFACE
 -p tcp -d 10.1.1.2 --dport 20 -j ACCEPT


# IP maskarada - SNAT
# NATujeme 
$IPTABLES -t nat -A POSTROUTING -o $INET1_IFACE -j SNAT --to $INET1_IP
$IPTABLES -t nat -A POSTROUTING -o $INET2_IFACE -j SNAT --to $INET2_IP

# Routing zevnitr site ven neomezujeme
$IPTABLES -A FORWARD -i $LAN1_IFACE -j ACCEPT

# Routing zvenku dovnitr pouze pro navazana spojeni (stavovy firewall)
$IPTABLES -A FORWARD -i $INET1_IFACE -o $LAN1_IFACE
 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $INET2_IFACE -o $LAN1_IFACE
 -m state --state ESTABLISHED,RELATED -j ACCEPT

.. ostatni nastaveni iptables jsem pro usporu vypustil.

Diky za nasmerovani.