Dotaz: NAT a porty

[filbar]

Mohli byste mi prosím někdo poradit jak zajistím, aby se mi spojení z 192.168.2.1 překládalo na 192.168.0.3:8080 a naopak. Prozatím mám překlad nastavený pomocí -A POSTROUTING -o eth1 -j MASQUERADE a na modemu Zyxel Prestige 650R-E3 volbu SUA Only a pod Edit details všechny porty z routeru 192.168.0.3. Použil jsem hlední i Googla, ale nic jak nastavit, z čeho bych pochopil příkaz SNATU, nebo DNATU pro toto jsem nenašel. Zkoušel jsem použít

iptables -t nat -A POSTROUTING -o eth1 -p tcp -j SNAT -s 192.168.2.1 --to 192.168.0.3:8080

, ale to nefunguje.

Odpovědi

[Petr Šobáň]

A čeho chcete dosáhnout ?

Všechny porty adresovat na jeden port nejde.

iptables -t nat -A POSTROUTING -o eth1 -s 192.168.2.1 -p tcp -j SNAT --to 192.168.0.3

Jde o to zda máte správné zařízení eth a zda se na nej dostane ta IP.

[filbar]

Chci pouze modifikovat 192.168.2.1:80 na 192.168.0.3:8080. Na zadanou dokumentaci jsem se díval, ale když zadám

 iptables -t nat -D POSTROUTING -o eth1 -p tcp -j SNAT -s 192.168.2.1:80 --to 192.168.0.3:8080

tak mi to vypíše chybu:

iptables v1.2.11: host/network `192.168.2.1:80' not found
Try `iptables -h' or 'iptables --help' for more information.

Co teda dělám špatně?

[Petr Šobáň]

Nemá to být takhle:

iptables -t nat -A PREROUTING -p tcp -s 192.168.2.1 --dport 80 -j DNAT --to 192.168.0.3:8080

Vše co je z PC 192.168.2.1 a je určeno pro port 80 (www) se přepíše na 192.168.0.3 port 8080

Prostě chce to více vysvětlit co zamýšlíte jak máte v PC sítovky atd...

Nebo pro všechny PC odstraňte -s 192.168.2.1 a potom vše co přijde na port 80 bude přeposláno na 192.168.0.3 port 8080

[filbar]

Modem Zyxel má adresu 192.168.0.2 a zde jsem nastavil, aby router 192.168.0.3/eth1 byl viditelný na netu, což funguje, když se přes ssh přihlásím na vzdálený stroj na netu, tak se na ten router dostanu. Vnitřní adresa routeru je 192.168.1.101/eth0. Dále je zde wi-fi apecko 192.168.1.100/192.168.2.1, které má na portu 80 www rozhraní, které chci přesměrovat na port 8080 routeru eth1 rozhraní, abych se přes ten port na něj mohl z webu dostat, když jsou všechny porty 192.168.0.3 přístupné z internetu. Podobně si chci pak nastavit přístup na své PC z netu přes ssh, třeba na portu 8022. Jak to tena udělám. Ten předchozí iptables -t nat -A PREROUTING -p tcp -s 192.168.2.1 --dport 80 -j DNAT --to 192.168.0.3:8080 nezabral.

Děkji za odpověď.

[Petr Šobáň]

Aha

Ve vnitřní síti nedělej žádné blbosti a pouze si ten modem nastav.

A nastav modem aby port z venku třeba 321 přeposlal na to wifi na port 80 a port ssh přeposlal na PC1 na port ssh atd.......

Pokud na tom routeru provádíš další nat tak i tam potom musíš napsat pravidla pro přeposlání pokud tam nat neprovádíš tak na něj nemusíš šahat.

Prostě nenastavuj aby byl pouze jeden PC vidět z netu, ale nastav aby se podle příchozího portu na modem to přeposílalo na příslušné PC, wifi atd....

[Petr Šobáň]

Jinak doplním co takhle si přečíst dokumentaci a je i česky.

http://www.netfilter.org/

NAT-HOWTO česky

6. Jak modifikovat pakety