Administrace komentářů

Situace je taková:

fyzická zařízení:

10.0.0.138 - router - comtrend router (brána)

10.0.0.128 - aneta - dns, dhcp a ssh server

10.0.0.127 - radka - print, mail, apache, mysql, apt-cacher, ntp a ssh server

10.0.0.126 - marketa - ssh, rtorrent a file server

doména spekodlak.eu v místním dns serveru přesměrovaná na radku (zaplacená v internetu)

z routeru mám přesměrované http, mailové porty, apt-cacher, ntp a ssh na radku

dns port přesměrovaný na anetu

A teď chtěl jsem se připojit na markétu přes ssh přímo. Nejdřív mě prostě napadlo přesměrovat port 2022 na routeru na ip markéty, jenže pak bych se musel přihlašovat jiným příkazem z místní a jiným z externí sítě. (Myslím tím ssh -p 2022 uzivatel@spekodlak.eu a ssh -p 2022 uzivatel@marketa.local.)

Tak jsem zkoušel nastavit radku tak, aby přesměrovala provoz ze svého portu 2022 na ip markéty a port 22:

*nat

-A PREROUTING -p tcp -m tcp --dport 2022 -j DNAT --to-destination 10.0.0.126:22

-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT

a nebo:

*nat

-A PREROUTING -p tcp -m tcp --dport 2022 -j DNAT --to-destination 10.0.0.126:22

-A POSTROUTING -p tcp -o eth0 -j SNAT --to-source 10.0.0.127

COMMIT

Obě dělají přesně to co by asi měli, přepisují ip adresu v paketu. Vše funguje (ať už doma, nebo venku příkaz ssh -p 2023 uzivatel@spekodlak.eu mě spojí s markétou), až na jednu drobnost.

Když jsem spustil na markétě fail2ban a koukal jsem do logů, uvědomil jsem si, že teď v případě neúspěšných pokusů o přihlášení bych asi zabanoval kompletně přístup k serveru, protože všechny přístupy v auth.logu jsou z ip 10.0.0.127.

Ale třeba právě router, ve kterém nastavuji přesměrování z venku přenáší pakety a jsou u nich vidět i opravdové ip adresy, takže fail2ban na radce funguje perfektně (cca 5 zabanovanejch ip denně).

Mojí otázkou je, jak mám dosáhnout podobného chování v linuxu? Stačí mě nakopnout, už to řeším pěkných pár dní a z informací co jsem se dočetl se mi už začíná točit hlava. Zřejmě mi chybý nějaký základní kousek do skládačky. Takže, co já to vlastně chci? Nat z jednoho serveru do druhého bez přepisování ip adres na ip adresu přenášejícího serveru (radky). Nakopne mě někdo prosím?