Dotaz: Jak přesměrovat lokální port na jinou IP adresu

[Galen]

Zdravím,

snažím se zprovoznit přesměrování portů na SLAXu 6.0.7, zkoušel jsem to přes iptables i redir, ale asi nemám štěstí. Potřebuji přesměrovat lokální port 10001 na IP 192.168.100.140:10001. Tak, aby když se připojí moje aplikace na lokální port 127.0.0.1:10001 ve skutečnosti komunikovala se zařízením na IP 192.168.100.140:10001. Moje PC má jednu síťovku eth1. Ve Windows na to používám utilitku IntelligentPorts a funguje to ok. Zkoušel jsem něco jako:

iptables -A FORWARRD -i lo -o eth1 -s localhost -d 192.168.100.140 -p tcp --sport 10001 --dport 10001
iptables -A FORWARRD -i eth1 -o lo -s 192.168.100.140 -d localhost -p tcp --sport 10001 --dport 10001

zatím ale bez výsledku. Většinou se pohybuji ve Windows, ale snažil jsem se to dle návodů na
webu a dokumenace nějak nastavit - což bohužel neznamená, že to může být úplně blbě :)

Díky za pomoc.

Odpovědi

[Marble]

Ahoj, blbě to je vcelku úplně. Přesměrovávat pakety umí target DNAT, který je platný v tabulce nat v chainu OUTPUT a PREROUTING. Vzhledem k tomu, že jde o lokálně generované pakety, mělo by pravidlo přijít do chainu OUTPUT. Tolik teorie, v praxi mi při vyzkoušení bohužel pakety místo redirectu zmizely. (Případně pro ostatní -- pravidlo s DNAT v output chainu paket chytí, ale ten pak už není vidět na žádném interface.)

Druhá věc je zmíněný program z windows. Předpokládám, že ten nijak nemění pakety, ale prostě jen dělá lokální "proxy", která poslouhá lokálně a zároven si vytváří spojení na vzdálený počítač a veškerý provoz jednoduše přeposílá. Nevím, jestli něco takového existuje pro linux už hotové, ale pokud ne, jde to triviálně napsat nejlépe v nějakém vyšším jazyce, který už má vše pro TCP a spol hotové.

[Galen]

Ano ta utilitka pro Win opravdu jen přeposílá veškerý provoz na vzdálený počítač - v tomto případě je vzdáleným počítačem převodník TCPIP/RS32 (PortBox od HWgroup). Zkoušel jsem ještě něco ve stylu:

iptables -t -nat -A OUTPUT -o eth1 -s localhost -d 127.0.0.1 -p tcp -j DNAT --to 192.168.100.140:10001

ale nic

[Marble]

Jak je zmíněno někde o post níže, DNAT s loopbackem prý nefunguje úmyslně, takže je to trochu mimo, ale pro úplnost: nemělo být -o eth1 (paket, na který se to pravidlo aplikuje, není routovaný na eth0, ale na lo; každopádně není třeba psát nic, pokud už je paket dostatečně určen ostatním, třeba pomocí -d), naopak chybí --dport, aby se pravidlo chytalo jen na pakety mířící na správný port. Jinak souhlas (tedy ještě IMO --to-destination místo --to).

[papundekl]

DNAT/SNAT s localhostem od jiste verze kernelu nejde pouzivat (zamerne). Je nutno pouzivat nejakou proxy. Myslim, ze nekdo doporucoval stone: http://www.gcd.org/sengoku/stone/.

[Galen]

Díky. To řeší můj problém. Úspěšně odzkoušeno. Pro ilustraci parametry nastavení (jednoduchost sama):

stone 192.168.100.140:10001 127.0.0.1:10001

[pht]

nebo program redir.

[Marble]

Ad DNAT/SNAT: netušíš proč, resp. kde k tomu najít nějaké info? Když jsem přišel na to, že pakety místo redirectu mizí, zkoušel jsem, co na to poví google, či stránky netfilteru, ale nic rozumného jsem nenašel. Díky.

[papundekl]

Tak to bohuzel nemuzu slouzit.

[Jendа]

Nešlo by to SSH tunelem?

[Galen]

Bohužel, zařízení na druhé straně nemá o SSH ani potuchy (je to převodník RS232/TCPIP).

[black]

treba jednoduse pres rinetd