Administrace komentářů

Dobrý den,

dostal jsem od našeho ISP další veřejnou IP adresu a rád bych si ji převedl na privátní na můj druhý počítač pomocí iptables(používám router s NAT na jádře 2.4.)

veřejná IP je: 81.31.46.70

privátní IP druhého počítače je: 192.168.1.2

příkazy IPTABLES,které se snažím použít:

ifconfig eth0:1 81.31.46.70

iptables -t nat -A POSTROUTING -s 192.168.1.2 -j SNAT --to 81.31.46.70

iptables -t nat -A PREROUTING -d 81.31.46.70 -j DNAT --to 192.168.1.2

Problém je v tom, že podle informací z internetu jsou tyto příkazy správně(prý ani není potřeba doplňovat rozhraní eth0, eth1, či povolovat samotný průchod portů mezi rozhraními). Můj ISP tyto příkazy používá na svém mikrotiku a opravdu po zadání Ip adresy 81.31.46.70 z netu, se dostanu na WEB server(na který ukazuje moje první veřejná IP adresa), avšak já se chci dostat na WEB server(a všechny další služby/porty) mého druhého počítače.

Bylo mi řečeno, že toto stačí zadat kamkoliv do firewall.init, ale to mi nefunguje. Buď je interní počítač skryt pod původní veřejnou adresou, nebo se na internet nedostane vůbec.

Proto bych rád požádal zkušenější, zda by mi nepomohli problém vyřešit(a mockrát děkuji za jakékoliv postřehy-v linuxu jsem podle mě stále ještě začátečník).

Můj firewall.init:

iptables -F

iptables -X

iptables -Z

for i in `cat /proc/net/ip_tables_names` do iptables -F -t i iptables -X -t i iptables -Z -t i done

iptables -t nat -I POSTROUTING -o eth0 -p tcp --dport 25 -s ! 192.168.1.1 -j DROP

ifconfig eth0:1 81.31.46.70

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

iptables -N syn-flood

iptables -A INPUT -i {OUTSIDE_DEVICE} -p tcp --syn -j syn-flood

iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN

iptables -A syn-flood -j DROP

iptables -A INPUT -i {OUTSIDE_DEVICE} -p tcp ! --syn -m state --state NEW -j DROP

iptables -t nat -A POSTROUTING -s {INSIDE_NETWORK}/{INSIDE_NETMASK} -o {OUTSIDE_DEVICE} -j MASQUERADE

iptables -t nat -I POSTROUTING -s 192.168.1.2 -j SNAT --to 81.31.46.70

iptables -t nat -I PREROUTING -d 81.31.46.70 -j DNAT --to 192.168.1.2

iptables -A INPUT -p tcp -m tcp -d {OUTSIDE_IP} -i eth0 --dport 22 --sport 1024:65535 -j ACCEPT

iptables -A FORWARD -m state --state NEW -i {INSIDE_DEVICE} -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -m state --state NEW,INVALID -i {OUTSIDE_DEVICE} -j DROP

iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

iptables -t nat -A PREROUTING -p TCP --dport 135:139 -j DROP

iptables -t nat -A PREROUTING -p UDP --dport 137:139 -j DROP

iptables -t nat -A PREROUTING -p TCP --dport 445 -j DROP

iptables -t nat -A PREROUTING -p UDP --dport 445 -j DROP

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p icmp -j ACCEPT # to both sides.

iptables -A INPUT -p icmp -j ACCEPT

iptables -A INPUT -i {INSIDE_DEVICE} -j ACCEPT

iptables -A OUTPUT iptables -A FORWARD -p tcp -d

iptables -A INPUT -i lo -j ACCEPT

#HTB zacatek

#HTB konec

if [ -f /etc/dmz.info ]; then echo "Setting up DMZ." . /etc/dmz.info iptables -N dmz if [ "DMZ_USE_NAT" = "y" ] then iptables -t nat -A POSTROUTING -s {DMZ_NETWORK}/{DMZ_NETMASK} -o {OUTSIDE_DEVICE} -j MASQUERADE fi fi iptables -L

echo 7 > /proc/sys/net/ipv4/ip_dynaddr

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

echo "1" > /proc/sys/net/ipv4/tcp_syncookies

if [ -f /proc/sys/net/ipv4/conf/all/rp_filter ] then echo "1" > /proc/sys/net/ipv4/conf/default/rp_filter echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter else echo "Anti spoofing is not available, the author of this floppy spoofed, mail him." fi

if [ -f /proc/sys/net/ipv4/conf/all/accept_redirects ] then echo "0" > /proc/sys/net/ipv4/conf/default/accept_redirects echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects else echo "Anti spoofing is not available, the author of this floppy spoofed, mail him." fi

/bin/echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

echo "65535" > /proc/sys/net/ipv4/ip_conntrack_max

echo "Enabling IP forwarding."

echo "1" > /proc/sys/net/ipv4/ip_forward