Dotaz: Prosim pekne pomozte mi s iptables

[baCZa]

Dobry den uz dlouhe hodiny procitam na foru clanky o iptables a nedokazu si vysvetlit proc mi nefunguje to nastaveni... Nejdrive ujasnim situaci mam sit 192.168.96.X a na ni "server" s ip [eth0]192.168.96.250 a druha karta [eth1] 192.168.1.1 a za tou druhou kartou je pc s IP 192.168.1.2. Klasicka situace NATu... Chci presmerovat port 80 u PC s 192.168.1.2 aby byl pristupny ze site 192.168.96.x Pouzivam slax 5.04 s iptables v1.2.11

napisu:

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A PREROUTING -p tcp --dport 80 -d 192.168.96.250 -j DNAT --to 192.168.1.2:80

iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -d 192.168.1.2 -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Teoreticky by tato trivialni zalezitost mela chodit zadny firewall ani nic jineho tady nemam..., presto superscanem zjistuji, ze neni otevreny port 192.168.96.250:80 ,netusite nekdo co muzu delat blbe? Predem vam vsem strasne moc dekuji. Botos

Odpovědi

[georgewh]

Skus vyhodit 2. riadok, o to sa postara 3. riadok.

Nemalo by byt --to-destination?

Pripadne ukaz vypis

iptables -L -n

.

[baCZa]

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  0.0.0.0/0            192.168.1.2         tcp dpt:80
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[baCZa]

Zkusil jsem pak i: iptables -A FORWARD -i eth0 -o eth1 -p tcp --sport 80 -s 192.168.96.250 --dport 80 -d 192.168.1.2 -j ACCEPT

$ iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     tcp  --  192.168.96.250       192.168.1.2         tcp spt:80 dpt:80


Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Ale take bez vysledku :(

[mssoft]

Zkuste to první pravidlo: iptables -t nat -A PREROUTING -p tcp --dport 80 -d 192.168.96.250 -j DNAT --to 192.168.1.2:80 změnit na následující (máte tam dvakrát uvedenou destinaci a žádný zdroj):

iptables -t nat -A PREROUTING -p tcp --source-port 80 -s 192.168.96.250 -j DNAT --to-destination 192.168.1.2:80

A zkuste přehodit 2. a 3. příka, protože v tomto pořadí povolujete pouze pakety se stavem ESTABLISHED a RELATED i při cílovém portu 80 na počítači 192.168.1.2 -> počítač 192.168.1.2 nikdy nezačne spojení, spojení musí začít klient a ten nemá díky nastaveným příznakům šanci.

Doufám, že jsem ty příkazy napsal správně - nemám je možnost teď vyzkoušet.

S pozdravem, Marek Šiller

[georgewh]

iptables -t nat -A PREROUTING -p tcp --source-port 80 -s 192.168.96.250 -j DNAT --to-destination 192.168.1.2:80

znamena: tcp spojenie prichadzajuce z 192.168.92.250 z portu 80 presmeruj na 192.168.1.2:80, takze nie --source-port ale --destination-port.

[Jáchym Čepický]

zdravim, trochu offtopic, ale snad přece ne: zkuste shorewall. Je to textové rozhraní k iptables. podle návodu na webu jsem nastavil vždy co jsem potřeboval (většinou stačí jenom cut'n'paste) -- stačí zeditovat velmi přehledné soubory plné příkladů v /etc/shorewall/