Dotaz: IPTABLES veřejné IP vs interní LAN

[kardinal.richelieu]

Ahoj,

prosím o pomoc v následujícím prostředí:

Externí adresy: 60.40.30.21 a 60.40.30.22

Interní LAN: 192.168.55.0/C, 192.168.56.0/C, 192.168.57.0/C a 172.16.3.0/C

Dotaz:

jak zařídím, aby veškerá komunikace z LAN 172.16.3.0 sítě šla pouze přes externí adresu 60.40.30.22 a zároveň jsem měl povolené TCP 25, 80, 443 ze stejné externí adresy (60.40.30.22) na interní IP 172.16.3.30

a veškerá další komunikace z LAN 192.168.55.0, 192.168.X.X šla přes veřejnou adresu 60.40.30.21 a zároveň jsem měl povolené TCP 25, 80, 443 ze stejné externí adresy (60.40.30.21) na interní IP 192.168.55.20

Moc díky za pomoc

Marek

Odpovědi

[NN]

iptables -t nat -A POSTROUTING -s 172.16.3.0/24 -j SNAT --to-source 60.40.30.22

iptables -t nat -A PREROUTING -d 60.40.30.22 -p tcp --dports 25,80,443 -j DNAT --to-destination 172.16.3.30

iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -j SNAT --to-source 60.40.30.21

iptables -t nat -A PREROUTING -d 60.40.30.21 -p tcp --dports 25,80,443 -j DNAT --to-destination 172.16.3.20

NN

[kardinal.richelieu]

Díky moc,

už je to funkční

Marek

[msaft]

Asi byste mel zkouknout nejake to iptables howto, popr. aspon man stranky. 
Vypadat by to mohlo nejak takhle (z hlavy, bez zaruky):

iptables -A POSTROUTING -s 172.16.3.0/24 -d ! 172.16.3.0/24 -d ! 192.168.0.0/16 -j SNAT --to-source 60.40.30.22
iptables -A PREROUTING -d 60.40.30.22 -p tcp -m tcp --dport 25 -j DNAT --to-destination 172.16.3.30:25
iptables -A PREROUTING -d 60.40.30.22 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.16.3.30:80
iptables -A PREROUTING -d 60.40.30.22 -p tcp -m tcp --dport 443 -j DNAT --to-destination 172.16.3.30:443

iptables -A POSTROUTING -s 192.168.0.0/16 -d ! 172.16.3.0/24 -d ! 192.168.0.0/16 -j SNAT --to-source 60.40.30.21
iptables -A PREROUTING -d 60.40.30.21 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.55.20:25
iptables -A PREROUTING -d 60.40.30.21 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.55.200:80
iptables -A PREROUTING -d 60.40.30.21 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.55.20:443

[NN]

Pravda , na  :PORT u DNAT-u jsem zapomnel..

NN