Dotaz: Iptables - presmerovani packetu

[CyBeR]

Ahoj, potreboval bych poradit. Potrebuji presmerovat port, rekneme 1234. A to tak, ze pokud prijde z venku na muj router pozadavek na tento port, musi se presmerovat na interni adresu, napriklad 192.168.132.5

Co je treba napsat do iptablu?

Odpovědi

[melkors]

Neco takoveho:

# zmen dle potreby
INET_IFACE="eth1"
INET_IP="1.2.3.4"

# nasmerovat
iptables -t nat -A PREROUTING -p TCP -i $INET_IFACE --dport 1234 -j DNAT --to-destination 192.168.132.5
# povolit forward
iptables -A FORWARD -p TCP -i $INET_IFACE -d 192.168.132.5 --dport 1234 -j ACCEPT
# a na zaver zaridit zpetny prepis pro odchozi pakety
# pokud uz neni
iptables -t nat -A POSTROUTING -o $INET_IFACE -j SNAT -s 192.168.132.5 --to-source $INET_IP

[Filip Jirsák]

O "zpětný přepis" se postará NAT v iptables sám, poslední pravidlo bude veškerý odchozí provoz počítače 192.168.132.5 natovat za IP routeru.

[Filip Jirsák]

$IPTABLES -t nat -A PREROUTING -p tcp --dport 1234 -j DNAT --to-destination 192.168.132.5

Pokud to nemá být TCP ale UDP, změňte parametr -p. Pokud to má být na jiný port na cílovém počítači, upravte --to-destination např. na --to-destination 192.168.132.5:4321.

[Opium]

Ahoj Filipe, nevíš jak se dá udělat transparentní firewall, tj. když někdo zadá v jiné síti adresu 10.0.0.30 tak bude směrován do druhé sítě na 192.168.1.30. Fungovalo by toto pravidlo?:
iptables -t nat -A PREROUTING -d 10.0.0.30 -i eth0 -o eth1 -j DNAT --to-destination 192.168.1.30
proste takovej router z firewallu... dík

[Jiří J.]

Možná odpovím rychleji já
Pokud nepotřebujete vzájemně mezi těmi sítěmi filtrování, pak by mělo stačit

echo "1" > /proc/sys/net/ipv4/ip_forward

Jinak filtrování toho provozu bych prováděl v chainu FORWARD, kde jsou povoleny jak -i, tak -o, v PREROUTING myslím ne.

[Opium]

aa díík, jsem blbec.