Dotaz: Forwardovaní portu

[rexcze]

Ahoj, mám doma router, bezi na Slackwaru a potrebuju si naforwardovat port 8003 na muj pocitac na port 80. Takze kdyz nekdo zada moje.ip:8003 , tak bych chtel, at ho o hodí na ip 192.168.1.2 port 80. Mám nastavený pravidlo takto: iptables -t nat -A PREROUTING -i eth0 -p tcp -d "moje.ip" --dport 8003 -j DNAT --to 192.168.1.2:80

Ale ono to nejede.... Nevite co s tim? Na mým kompu je Kubuntu s apache na portu 80 (s VHCS)

Odpovědi

[vampi]

a forward máš tímto směrem povolený?

[pasmen]

Tu packety jeste musi byt povoleny v chainu FORWARD. Tzn. pridat neco jako

iptables -A FORWARD -i eth0 -o eth1 -p tcp -d 192.168.1.2 --dport 8003 -j ACCEPT

Plus, predpokladam, mate povolene forwardovani packetu. Pokud ne, tak

echo 1 > /proc/sys/net/ipv4/ip_forward

[rexcze]

Forwardovaní mám povolené, zkusim pridat

iptables -A FORWARD -i eth0 -o eth1 -p tcp -d 192.168.1.2 --dport 8003 -j ACCEPT

a uvidim ;)

[Michal Kubeček]

Měl byste tam dát spíš '--dport 80', chainem FORWARD v tabulce filter ten paket prochází až po překladu.

[pasmen]

Ei sorry, preklep.

[rexcze]

nejde to stale :(

[rexcze]

Tady je moje rc.local, protoze fakt nevim, co by mohlo byt spatne .... #

iptables -F

echo 1 > /proc/sys/net/ipv4/ip_forward

modprobe ip_tables

modprobe ip_conntrack_ftp

modprobe ip_nat_ftp

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

#nastaveni IP adres

ifconfig eth0 213.192.23.77 netmask 255.255.255.248 up

ifconfig eth1 192.168.1.1 netmask 255.255.255.0 up

route add default gw 213.192.23.73 eth0

#spusteni DHCP serveru

dhcpd

#Firewall konfigurace!!

iptables -P INPUT DROP

iptables -A INPUT -i tun0 -j ACCEPT

iptables -A INPUT -p tcp --dport 25 -j ACCEPT

iptables -A INPUT -p udp --dport 1194 -s 213.192.23.118 -j ACCEPT

iptables -A INPUT -p tcp --dport 53 -j ACCEP

iptables -A INPUT -p udp --dport 53 -j ACCEP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i eth1 -j ACCEPT

iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A FORWARD -p tcp --dport 135 -j DROP

iptables -A FORWARD -p udp --dport 135 -j DROP

iptables -A FORWARD -p tcp --dport 69 -j DROP

iptables -A FORWARD -p udp --dport 69 -j DROP

iptables -A FORWARD -p tcp --dport 6667 -j DROP

#Forwardovani portu

iptables -A FORWARD -i eth0 -o eth1 -p tcp -d 192.168.1.2 --dport 8003 -j ACCEPT

iptables -t nat -A PREROUTING -i eth0 -p tcp -d 213.192.23.77 --dport 8003 -j DNAT --to 192.168.1.2:80

# Firewall konfigurace konec

[Michal Kubeček]

Zkuste ukázat ten skutečný skript. Tady jsou minimálně dva překlepy, které musejí skončit chybou (ACCEP místo ACCEPT) a pořád je tam chybně port v předposledním pravidle (přičemž výše tvrdíte, že to byl jen překlep).

[blondak]

a co zkusit přidat

iptables -A INPUT -p tcp --dport 80 -d "moje.ip" -j ACCEPT

[Michal Kubeček]

To je k ničemu - tedy přesněji řečeno na řešený problém to nemá naprosto žádný efekt. Uvědomte si, v jakém pořadí prochází paket jednotlivými řetězci.

[rexcze]

Je to spravnej skript. Preklepy jsem opravil, ktery port je spatne, budte prosim konkretni -> jak to opravit? Vyzkousel jsem i ten --dport 80, jak radi vyse misto --dport 8003 ale nejede to :(

[Michal Kubeček]

Tak přestaňte zkoušet a začněte se snažit. Třeba tak, že přestanete říkat nic neříkající nejede to a zjistíte, co vlastně nejede. Tedy že se podíváte, co přesně se ztrácí (zda dotaz nebo odpověď) a kde. Tady opravdu není věštírna.

[rexcze]

jakým způsobem zjistím, zda se ztrácí dotaz nebo odpoved?

[Michal Kubeček]

Použijte tcpdump, nejlépe na tom firewallu, jednak na vnějším interface, jednak na vnitřním. Nebo se aspoň podívejte do logu toho serveru, jestli tam ten dotaz přišel.

[rexcze]

Chyba spojení Firefox nemůže navázat spojení se serverem 213.192.23.77:8003.

[rexcze]

tcpdump na iface z netu -> 23:14:18.071092 IP 66-23.net.optinet.cz.4712 > router73.aurem.net.8003: S 1000169821:1000169821(0) win 65535 < mss 1460,nop,nop,sackOK>

Takze to prijme...

ale na iface do site se neobjevil pozadavek s portem 80 (ani 8003, coz je jasny)

Takze to asi neforwarduje.

[rexcze]

a ani v logu Apache není zaznamenán přístup

[Michal Kubeček]

Fajn, takže to žere váš router, tím lépe. Jak vypadá na vašem routeru výstup

  cat /proc/sys/net/ipv4/ip_forward
  ip route get 192.168.1.2
  iptables -nvL FORWARD
  iptables -t nat -nvL

[rexcze]

cat /proc/sys/net/ipv4/ip_forward

vystup:

1

ip route get 192.168.1.2

vystup

192.168.1.2 dev eth1 src 192.168.1.1

cache mtu 1500 adv mss 1460

iptables -nvL FORWARD

vystup

Chain FORWARD (policy ACCEPT 13502 packets, 3966K bytes)

pkts bytes target prot opt in out source destination

iptables -t nat -nvL

vystup

Chain PREROUTING (policy ACCEPT 1857 packets, 156K bytes) pkts bytes target prot opt in out source destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 648 57229 MASQUERADE all -- * eth0 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT 4 packets, 250 bytes) pkts bytes target prot opt in out source destination

[Michal Kubeček]

Tohle ale vypadá, že jste ten upravený skript nespustil - to pravidlo pro DNAT tam vůbec není…

[rexcze]

Ano, máte pravdu. Nebylo tam spusteno, vzdy, kdyz resetnu router, je nutne spustit rc.local (./rc.local), aby se pravidla nacetli. Nyní mi již forwardovani funguje na pocitac 192.168.1.2:80 (z 8003).

[Michal Kubeček]

Teď se zkuste ještě zamyslet nad tím, zda je opravdu dobrý nápad mít v chainu FORWARD politiku ACCEPT a zahazovat jen provoz na pár vybraných portů.

[rexcze]

K tomuto routování mám použitot toto pravidlo:

iptables -A FORWARD -i eth0 -o eth1 -p tcp -d 192.168.1.2 --dport 80 -j ACCEPT

to funguje, ale kdyz podle stejneho pravidla pridam pravidlo

iptables -A RORWARD -i eth0 -o eth1 -p udp -d 192.168.1.241 -dport 5060 ACCEPT

napise to, ze multiple -d neni povoleno, jak mam tedy pouzivat vice forvardovani nez jen jedno?

[Michal Kubeček]

1. Ne k routování.

2. Chybí vám tam jedna pomlčka.

[rexcze]

ad 1) to jsem nepochopil, precetl jsem to forum, ale nejak to nechapu (nemam moc zkusenosti s iptables a souvisejicima vecma)

ad2) pomlcku jsem pridal a "-j" taky, uz je to ok.

[Michal Kubeček]

Ad 1: Ten odkaz vede na konkrétní příspěvek, kde vysvětluji, co je to routování, a upozorňuji, že to nemá nic společného s paketovým filtrem.

[dumi]

iptables -t nat -A PREROUTING -i eth0 -p tcp -d "moje.ip" --dport 8003 -j DNAT --to 192.168.1.2:80

zkuste misto --to dat --to-destination, tak to alespon uvadi manualova stranka k iptables a me to tak funguje.

[reddick]

Skoro to vypada ze by byl jednoduzsi ssh-tunel :D

[rexcze]

TED uz mi forward jede, za to DÍÍÍÍÍÍÍKY!!!!

Ale mam tu jeste jeden problem (asi horsi), mam VoIP gateway Asus VP100 a tu mam pripojenou do site za router a na ni forwarduju pord 5060. Pridelim ji adresu pomoci dhcp a svazu ji s mac (pa dva port WAN a LAN) Kdyz zapojim lan, tak jde konfigurovat, kdyz jen WAN, tak nejde.. Tudiz jsem zapojil oba, ale ping z nej na branu jede, ale ven uz ne, bohuzel ani netusim, kde je chyba, jestli v routerovi nebo v asusu.

[rexcze]

Vyreseno. Diky

[peh]

Mam taky VP100, ale vytuhava mi ssl spojeni uz po 2-3 minutach necinnosti. Pry to nejak souvisi se spatnou spravou NAT tabulek. Take vam to dela, anebo jak jste to vyresil? Petr

[peh]

Pardon, preklep, mam na mysli SSH spojeni. Petr