Dotaz: Shorewall a redirect

[Lukáš Zapletal]

Zdravím,

potřeboval bych přes Shorewall nastavit pravidlo, aby všechny požadavky co jdou na port 80 byly přesměrovány na port 8880, a to na všech rozhraních, včetně virtuálních (eth0:1). Z dokumentace k Shorewallu jsem vyrozuměl, že mám dát pravidlo: REDIRECT fw 80 tcp 8880.

To ale nefunguje, má s tím někdo zkušenosti?

Odpovědi

[xxl]

REDIRECT local 80 tcp 8880

Zkrátka místo fw tam musí být ta konkrétní zóna, ze které chcete požadavek redirektnout.

[Lukáš Zapletal]

No to právěže nejde:

# cat /etc/network/interfaces
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 10.132.76.XX
netmask 255.255.255.0
gateway 10.132.76.1

auto eth0:1
iface eth0:1 inet static
address 213.192.23.XX
netmask 255.255.255.0
gateway 213.192.23.XX

zkusil jsem tedy (podle návodu):

Ping/ACCEPT   net   $FW
ACCEPT net $FW:213.192.23.27 tcp www,ssh,smtp,ftp,8888

#DNAT net $FW:127.0.0.1:8888 tcp 80 - 213.192.23.27
REDIRECT $FW:213.192.23.27 80 tcp 8888

a nejde to. moje zóny jsou:

fw              firewall
net             ipv4
vpn             ipv4

[Lukáš Zapletal]

Aha už blbnu, zóna ze které chci...

Takže jsem zkusil:

REDIRECT net 80 tcp 8888

...a nejde.

[xxl]

Jestli vám to nefunguje, tak to není redirectem, ale něčím jiným. Špatně nadefinované zóny, hosté, nefungující web server či něco dalšího. Podívejte se do dokumentace a do zmíněných FAQ. Je tam popsána spousta různých příkladů a vždycky nakonec zjistíte, že nejste první, kdo ten problém řeší.

[xxl]

REDIRECT net 8888 tcp 80

[Lukáš Zapletal]

Tohle asi ne, je to opačně.

V dokumentaci je bohužel k REDIRECT metodě houby, probírá se tak akorát DNAT, a to já nepotřebuju.

[xxl]

Nepsal jste, že vám tam běží nějaký webserver na portu 8888? A vy na tento port chcete přesměrovat požadavky, které přijdou na portu 80? Předtím jsem to přehlédl a zopakoval jsem vaši prvotní konfiguraci portů - opačnou. Teď jsem si toho konečně všiml, když jsem četl, že váš server se nemůže bindnout na porty < 1024. Zkuste to a uvidíte.

[Lukáš Zapletal]

Já to zkoušel, nejde. Zkoušel jsem už snad všechno...

[xxl]

Ale jde. Asi se připojujete z jiné zóny.

go away

teevee aka lzap.homeunix.com

The antichrist very soon annihilates the three, twenty-seven years his war will last. The unbelievers are dead, captive, exiled; with blood, human bodies, water and red hail covering the earth.

[Lukáš Zapletal]

Právě jsem na to kápl, zkoušel jsem to od sebe! To mi nejde, ale zvenčí (sshnul jsem se na vnější mašinu) to skutečně jde. Hezký Díky

jak to nastavit, aby to šlo i z mojí mašiny?

[xxl]

REDIRECT fw 8888 tcp 80

Nebo můžete rovnou napsat (doufám, že se nepletu):

REDIRECT all 8888 tcp 80

[Lukáš Zapletal]

To mi nejde (vizte níže)

[xxl]

Obávám se, že jsem nepochopil, čeho chcete dosáhnout. Četl jste FAQ?

S vaším nastavením dosáhnete toho, že tcp požadavky na portu 80 přišlé ze zóny $FW se zdrojovou ip adresou 213.192.23.27 jsou přesměrovány na lokální port 8888. To je ovšem zcela určitě špatně.

[Lukáš Zapletal]

Mám www server který běží na portu 8888 a potřebuji, aby byl dostupný i na portu 80.

[Mk]

Tak jednoduše v configu web serveru nastavit porty, na kterých má běžet. Mě by spíš zajímalo, jak přesměrovat příchozí provoz řekněme na port 80 na úplně jinej stroj v internetu port 23. Proč tohle chci? Řeším jak se připojit na ssh jistého stroje z privátní sítě, ve který admin zahazuje provoz s cílovým portem 23. Proto se chci sshčkem připojovat na port 80. Spustit SSH přímo na 80 nemůžu, potřebuju i web server. Zkoušel jsem redirect net net:ip.ip.ip.ip:23 tcp http a nefungovalo.

[Lukáš Zapletal]

Jenže to nemůžu, jedná se o kpf který je spuštěn jako KDE applet, a proto nemůže bindovat porty < 1024 (není root).

[Mk]

Dobrá, v tom případě by to mohlo jít takhle..

REDIRECT net local:80 tcp 8888

[Mk]

Beru zpět dal jsem na pocit a po zpětné kontrole zjistil, že to byla chyba..

[Lukáš Zapletal]

Když tam totiž dám

REDIRECT fw 8888 tcp 80

tak mi nejde web -- prohlížeč vždycky ukazuje moji stránku na 80/8888

[xxl]

Jo aha.

REDIRECT fw 8888 tcp 80 - !127.0.0.1,213.192.23.27,10.132.76.XX

[xxl]

Nojo, bez vykřičníku.

REDIRECT net 8888 tcp 80
REDIRECT fw 8888 tcp 80 - 127.0.0.1,213.192.23.27,10.132.76.XX

[Lukáš Zapletal]

Senzace! Díky díky moc.