Dotaz: nefunkcni PREROUTING

[Pavel]

Zdravicko, mam zajimavy problem s tim, ze mi nechce jet PREROUTING. Mam vE firewallu povolene TOTO a nejede:

$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 8080 -j DNAT --to-destination 10.10.10.88:80

$IPTABLES -A FORWARD -i $INET_IFACE -o $LAN1_IFACE -p tcp -d 10.10.10.88 --dport 80 -j ACCEPT

Nevite prosim, kde mam chybu , ci na co zapominam><<<< Diky moc Pavel

Odpovědi

[Ruža Becelin]

Nejede jak? Vypise to nejakou chybu? Mate podporu pro NAT v jadre. ev. jsou loadnute potrebne moduly?

[Pavel]

Prave ze chybu neee, kdyz spustim ten skript- fw, vsechno ¨projede pekne i zaznamy v iptables -L -t nat jsou, ale vysledny efekt jsem nedosahl Podpora je, protoze SNATuji celou sit- Maskarada a jine PREROUTINGY zapsane totozne s timto mi jedou, ale neni to port 80, ale TSE-3389 a jede vpohode! Takze nevim

[Petr Šobáň]

Vyhod z druhého pravidla -i $INET_IFACE nebo se na to připojuješ jenom z internetu z vnitřní IP ne ?

[Pavel]

Ahaaa, ja jsem to pravel zkusel z vnitrni site, kde je jako router prave to PC s timto firewallem a nejelo to, a z venku by to tedy melo jet? resp. kdyz vyhodim -i $INET_IFACE , tak to pojede i z vnitrni? a nemusi to tam byt uvedeno ????

[Petr Šobáň]

To já nevím záleží co tam máš za další pravidla

Jinak to druhé pravidlo ten port 80 povolí pouze jak požadavek přijde z rozhraní internetu a odchazi pres rozhrani do mistni site na ten pc co tam máš uveden port 80.

Prostě přemejšlej co dáváš do pravidel samozřejmě pokud požadavek přijde z místní sítě tak bude zahozen pokud tam nemáš nějaké jiné pravidla co to povolí.

[Pavel]

Nooo, jine pravidlo co by ho povolilo, aby to slo i z vnitrni site nemam. To pak tedy staci dat pravidlo s paramtrem -A FORWARD, ze?

[Petr Šobáň]

No jednoduše stačí jak už jsem psal vyhodit to -i .....

Prostě aby se přijímal požadavek odevšud

Jinak u pravidla prvního to bude fungovat pouze pokud se na ten PC budeš odkazovat tou veřejnou IP pokud použiješ z vnitřní sítě vnitřní IP tak to fungovat taky nebude.

[Pavel]

Ale kdyz vyhodim y druheho pravidla -i $INET_IFACE, tak se mi zad, ze to je takove neuplne, opravdu to bude pak fungovat? A preci potrebuji oba pravidla, neee?

[Petr Šobáň]

Pravidla máš zjednodušovat a né jich dělat hromadu aby PC měl co dělat je spracovat

Čili pokud na port toho PC se potřebujeme dostát odkudkoliv tak stačí:

$IPTABLES -A FORWARD -o $LAN1_IFACE -p tcp -d 10.10.10.88 --dport 80 -j ACCEPT

A ani to -o by tam nemuselo být protože tam máte -d s IP toho PC a pokud máte správně routování tak by to mělo odcházet přes to rozhraní k tomu PC.

Takže by uplně stačilo:

$IPTABLES -A FORWARD -p tcp -d 10.10.10.88 --dport 80 -j ACCEPT

Takže cokoliv se dostane na forward a má cílový PC adresu 10.10.10.88 port 80 bude povolené.

Pokud se některé IP nemají vyskytovat na nějakém rozhraní (například na internetu se nemají co vyskytovat lokální IP) tak jak to udělat máte popsáno tady kde se můžete inspirovat.

[Pavel]

Jo tak. Noo pokud bude stacit jen

$IPTABLES -A FORWARD -p tcp -d 10.10.10.88 --dport 80 -j ACCEPT

tak to je vpohode, ale ja myslel, ze to musim delat pres PREROUTING a pak jeste povolit na retezci FORWARD.Nebo ne?

Vas firewall je pekne napsany, ale jeste jedna vec me napada:Kdyz mam implicitne INPUT a FORWARD DROP a OUTPUT ACCEPT a chtel bych podle Vaseho firewallu zakazat nejake IP at nechodi ven- tz. pres router do netu, jak by jste to prosim resil, pac me se to u me nedari

[Petr Šobáň]

Pokud tam necháš pouze tento řadek tak se na ten www dostaneš pouze z vnitřní sítě z internetu se nedostaneš protože ten server nemá veřejnou IP

Takže tam ten první řadek (PREROUTING) musí být pro přístup z internetu.

Prostě co potřebuješ aby na ten www se dalo připojit i z internetu nebo jenom z vnitřní síte ?

[Petr Šobáň]

$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 80 -j DNAT --to-destination 10.10.10.88:80

$IPTABLES -A FORWARD -p tcp -d 10.10.10.88 --dport 80 -j ACCEPT

Takhle pokud to chceš i z internetu vše co přijde z internetu na $INET_IP port 80 bude přesměrováno na 10.10.10.88:80

PS. Nápověda zde.

[Pavel]

AAA, uz to chapu, diky za objasneni Prave ze to potrebuji aby to bylo pristupne jak jak z NETu, tak i z vnitrni site. A to uz je mi nyni jasne.

Vas firewall je pekne napsany, ale jeste jedna vec me napada:Kdyz mam implicitne INPUT a FORWARD DROP a OUTPUT ACCEPT a chtel bych podle Vaseho firewallu zakazat nejake IP at nechodi ven- tz. pres router do netu, jak by jste to prosim resil, pac me se to u me nedari

[Petr Šobáň]

Vas firewall je pekne napsany, ale jeste jedna vec me napada:Kdyz mam implicitne INPUT a FORWARD DROP a OUTPUT ACCEPT a chtel bych podle Vaseho firewallu zakazat nejake IP at nechodi ven- tz. pres router do netu, jak by jste to prosim resil, pac me se to u me nedari

OUTPUT DROP

No a povolit pouze odchozí ty co chceme

Z routeru v OUTPUT z jiných PC v FORWARD.

Pokud je to jiný PC ne router na začátek $IPTABLES -A FORWARD -s IP_ZAKAZANA -j DROP

Ta IP nebude přes router puštěná vůbec pokud chcete pouze na internet blokovat přístup.

$IPTABLES -A FORWARD -o $INET_IFACE -s IP_ZAKAZANA -j DROP

[Pavel]

DIKY moc, vyzkousim!