Dotaz: NAT

[NAT]

Mam server 1 ktory ma verejnu IP a server 2 ktory ma neverejnu IP. Medzi timito 2 serverami mam LAN, cez tuto LAN sa da normalne cez ssh pripojit na server 2. Ako vytvorit NAT aby som sa dostal na server 2 cez server 1? Predpokladam ze sa to da, len netusim ako :) Na serveri 1 by mi bezalo SSH serveru 2 cez NAT napr. na porte 10.

Poradite mi? Dakujem.

Odpovědi

[Tom]

Na prvním serveru spácháš maškarádu a forwardneš na něm port 10 na druhý server

Tom

[NAT]

Nemas nejaky priklad pre iptables? Verejna siet mi bezi na eth0 a privatna na eth1.

[Tom]

NAT & maškaráda se dělá takto

iptables -A FORWARD -i eth0 -o eth1 -m state --state NEW -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A POSTROUTING -t nat -j MASQUERADE

Musíš ještě povolit forward portů v jádře takto: sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward"

a forward portů takto: iptables -I FORWARD -i eth0 -p TCP -d 192.168.1.2 --dport 10 -j ACCEPT

[Tom]

Omlouvám se za špatný formát, tak upravuji

NAT & maškaráda se dělá takto

iptables -A FORWARD -i eth0 -o eth1 -m state --state NEW -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A POSTROUTING -t nat -j MASQUERADE

Musíš ještě povolit forward portů v jádře takto:

sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward"

a forward portů takto:

iptables -I FORWARD -i eth0 -p TCP -d 192.168.1.2 --dport 10 -j ACCEPT

[NAT]

iptables -A FORWARD -i eth1 -o eth3 -m state --state NEW -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -I FORWARD -i eth1 -p TCP -d 192.168.1.3 --dport 10 -j ACCEPT

 

V skutocnom nasadeni mam eth1 verejnu a eth3 privatnu. Po takomto nakonfigurovani dostavam connection refused. Port 10 mam accept.

[Tom]

ještě tohle by mohlo pomoct

iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 10 -j DNAT --to 192.168.1.2:10

[NAT]

Veru stale nic...este sa pokusim blizsie popisat siet.

server1:

- eth1 verejna siet - IP (teoreticky) 8.8.8.8

- eth3 privatna siet - IP 192.168.1.2

server2:

- eth1 privatna siet - IP 192.168.1.3

ide mi o to, aby som sa na 8.8.8.8:10 dostal na ssh ktore bezi na 192.168.1.3:22

[Tom]

aha, tak chybka je vím asi kde. Smažte veškerá pravidla v iptables která jste psal a všude kde jsem napsal IP 192.168.1.2 napište IP 192.168.1.3 a mělo by to fungovat

[Tom]

a ještě poslední věc, poslední pravidlo které jsem psal by mělo být takto:

iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 10 -j DNAT --to 192.168.1.2:22

[NAT]

To som spravil hned :)

[Tom]

nemáš Jabber? Komunikace bude mnohem rychlejší a pak sem jenom napíšeme výsledek

[NAT]

iptables -A FORWARD -i eth1 -o eth3 -m state --state NEW -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 10 -j DNAT --to 192.168.1.3:22


qw3rty@noicq.org

[Tom]

tak ještě tohle přidej

iptables -A FORWARD -i eth1 -p TCP -d 192.168.1.3 --dport 22 -j ACCEPT

Nějak se mě nedaří přidání tvého jabberu, zkus si mě přidat ty

energetik@njs.netlab.cz

[Vít Heřman]

Pokud ctu man iptables dobre, melo by tam byt --to-destination misto --to (v tom DNAT pravidle).

Jinak ty prvni dve pravidla s maskaradou vubec nesouviseji a pokud je verejna IP staticka, tak se misto MASQUERADE ma pouzit SNAT. Nehlede na to, ze to maskaradovaci pravidlo nema zadnou specifikaci odchoziho rozhrani, to mi taky neprijde uplne koser.

Takze bych to nastavil takto:

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -i eth3 -o eth1 -j SNAT --to-source 8.8.8.8
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 10 -j DNAT --to-destination 192.168.1.3:22

Ty ostatni pravidla jsou potreba jen pokud nema chain FORWARD defaultni politiku "ACCEPT".

[Vít Heřman]

sorry, v tonm SNAT pravidle samozrejme nema byt "-i eth3" protoze v POSTROUTING chainu nema smysl. A jeste podotykam ze SNAT tam vubec nemusi byt pokud je cilem pouze forwardovani portu na server ve vnitrni siti.

[pavel]

O tomhle se uz tady toho napsalo taky hafo.

Viz. zde