Dotaz: iptables snat z vonkajsej na vnutornu

[drucik]

Ahojte, potrebujem vyriesit problem, mam masinu v internete(napr,158.235.555.42), mam router na ktorom mam nastaveny port forwarding, to znamena ze vsetko co pride na port 5555 z tej 158.235.555.42 na adresu zariadenia s natkom sa preroutuje na vnutornu adresu napr 192.168.1.2 ktora je ako samostatny PC. Problem je ale v tom ze potrebujem aby sa mi adresa 158.235.555.42 kym pride na 192.168.1.2 prepisala na adresu ktoru si nastavim ako SNAT IP(tj potrebujem docielit aby sa to spojenie tvarilo ze ide z vnutornej IP a nie z IP niekde mimo nat-u), dosiahol som to prikazom: iptables -t nat -I POSTROUTING -s 158.235.555.42 -j SNAT --to-source 192.168.1.60 a taketo pakety mi aj chodia na koncovu masinu ale samotne spojenie mi nechce fungovat, mam podozrenie ze este mi tam treba nastavit nejaky spetny preklad ked sa to vracia spet na masinu z ktorej to prislo, zeby DNAT ?

---

---

Odpovědi

[vencour]

A) na to, co jsi zapsal za IP adresu, se Ti asi nikdo nebude snažit odpovědět ... B) najdi si, jak chodí pakety kernelem a dojde Ti, co máš udělat.

[Matěj Vaňátko]

No, problém je, že když mašina odpovídá, tak samozřejmě logicky neodpovídá na 158.235.555.42 (btw: to není platná IP ), ale odpovídá na počítač 192.168.1.60 pouze v lokální síti. Jeslti se jako laik nemýlím, tak musíte na routeru přidat na rozhranní, na které je lokální síť připojena další adresu - tedy 192.168.1.60 a potom si v iptables nastavit to, že co příjde na 192.168.1.60 se má DNATovat na 158.235.555.42 Ale to samozřejmě není všechno. To by stačilo jenom na to, aby vnitřní PC vidělo ven. Ale nikdo by se na něj z venku nedostal. Musí se tedy udělat i ten samý postup i pro druhou stranu . Pak už si jen stačí říct, co všechno chcete na ten PC směrovat a vesele si to nastavit Jestli to dobře chápu, je to NAT 1:1. Teď jsem to nasimuloval ve VMwaru, tak koukněte do přiloženého kódu ... jestli to je bezpečnostně správně a jeslti to je košér řešení, to nevim, ale kdybych potřeboval to co vy, řešil bych to takhle ... Jenom, na co potřebujete, aby se ten venkovní PC tvářil jako vnitřní PC ?

#/////////////////////////////////////////////////////////////////////////////////
#                               ODCHOZI PAKETY                                   /
#/////////////////////////////////////////////////////////////////////////////////
# Vše co má jít z 192.168.1.2 pošli na 158.235.555.42
iptables -t nat -A PREROUTING -i eth1 -s 192.168.1.2 -d 192.168.1.60 -j DNAT --to 158.235.555.42
# Vše co má jít na 158.235.555.42, tak ať má source IP veřejnou adresu routeru
iptables -t nat -A POSTROUTING -o eth0 -d 158.235.555.42 -s 192.168.1.2 -j SNAT --to "VEŘEJNÁ IP ROUTERU"



#/////////////////////////////////////////////////////////////////////////////////
#                               PRICHOZI PAKETY                                  /
#/////////////////////////////////////////////////////////////////////////////////
# Vše co má jít na lokální PC z veřejné IP adresy, pošli na IP adresu lokálního PC
iptables -t nat -A PREROUTING -i eth0 -d "VEŘEJNÁ IP ROUTERU" -s 158.222.235.42 -j DNAT --to 192.168.1.2
# Vše co má jít na lokální PC, ať má zdrojovou adresu 192.168.1.60
iptables -t nat -A POSTROUTING -o eth1 -d 192.168.1.2 -s 158.222.235.42 -j SNAT --to 192.168.1.60

[drucik]

To vencour: Parada, tak nad tou odpovedou si musel premyslat cely den inac by si ani neprisiel na to co napisat, ta ip bola samozrejme len ako ilustracia verejnej IP*(si hotovy genius proste) my ostatny sa mozme ist nacpat niekam..

To Matej: Dik za radu, otestujem to rano ked budem mat trochu viac casu, dam vediet hned jak to bude mat otestovane ci to funguje :)

[Matěj Vaňátko]

Stačí vyměnit demonstrované IP adresy za reálné IP a mělo by to běhat naprosto v cajku Je to defacto NAT 1:1, že cokoliv ti příjde na 1 veřejnou IP se pošle na nějakou interní IP a opačně. Samozřejmě je možnost si tam ještě přidat volbu jen pro specifický port, jestli potřebuješ forwardovat jen nějakou specifickou službu na vnitří PC a ostatní služby jako HTTP šlo třeba všem dalším klientům v lokální síti.

Kdyby něco, piš na ICQ: 222 960 497 a zkusíme případný problémy vyřešit Aspoň se laik jako já dozví něco novýho

[drucik]

Hmm, tak nejak sa mi to nedari jaksi rozbehat, pouzil som tie iste pravidla ale nejak mi to nechce este stale fungovat, vidim tam komunikaciu smerom cez router ku koncovej masine 192.168.1.2 ale ked sa to vracia naspet tak sa to niekde straca, na vnutornom interffejsi eth1 (v mojom pripade br0, pouzivam openwrt) dostavam cez tcpdump takyto vystup:

root@xxxxx# tcpdump host 192.168.1.60
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on br0, link-type EN10MB (Ethernet), capture size 96 bytes
00:22:25.602532 IP 192.168.1.60.52600 > 192.168.1.22.22: S 187316279:187316279(0) win 5840  1452,sackOK,timestamp 85961749 0,nop,wscale 6>
00:22:25.605406 arp who-has 192.168.1.60 tell 192.168.1.22
00:22:26.605398 arp who-has 192.168.1.60 tell 192.168.1.22
00:22:27.605324 arp who-has 192.168.1.60 tell 192.168.1.22

a donekonecna sa opakuju tieto 4 riadky, dokonca pri nahadzovani pravidiel som posunul pravidlo ako prioritne cez -I prepinac takze by ho malo matchnut ako prve. Niekde este musim mat chybu ale nic ma nenapada....

[Filip Jirsák]

To ale dělá přesně to, co jste chtěl. Změní zdrojovou IP adresu na 192.168.1.60, cílový počítač pak samozřejmě chce odpovědět této IP adrese (protože požadavek dostal jakoby od ní), takže ji hledá v síti. A pravděpodobně tam žádnou takovou IP adresu nenajde (a i kdyby ji našel, odpoví tomu počítači, jenže ten žádnou komunikaci nezahájil, takže ty pakety zahodí, a výsledek bude stejný).

Bylo by lepší, kdybyste napsal, čeho opravdu chcete docílit – ten váš původní požadavek totiž nedává žádný smysl.

[drucik]

Zdravim, dovod preco chcem aby sa tvarilo spojenie ako z localnej siete je ten ze potrebujem toto spojenie poslat cez vpn do druhej siete na ktorej su povolene na firewalle len localne siete, navyse to zariadenie ktore sa pripaja zvonku sa vie napojit len na IP a PORT, riesil by som to aj vpn spojenim ale na tom zariadeni to proste neviem nastavit, a este k tomu nemam k nemu pristup (berme to ako tretia strana), takze vlastne co potrebujem, cez port forwarding ked pride nieco z vonkajsej IP presmerovat to na masinu na inej sieti cez port forwarding (mozem to ale aj cisto na IP spravit) a zmenit tomu source IP aby to preslo cez firewall na tej druhej siete, dava to zmysel ? :). BTW: Myslel som ze prave to pravidlo iptables -t nat -I PREROUTING -i br0 -s 192.168.1.2 -d 192.168.1.60 -j DNAT --to vonkajsia ip

zoberie packety z vnutornej siete a presmeruje to na vonkajsiu IP, ci sa mylim ?

ostatne pokial je jednoduchsi sposob sem s nim :)

[vencour]

Tunel je dělán mezi dvěma body a co přijde z rozhraní mimo tunel je zpravidla zahozeno = jako by to nepřišlo. Proto potřebujete routovat provoz do tunelu - nebo třeba natovat za jeden ověřený konec/stroj v LAN.

[Filip Jirsák]

V tom případě ale ten NAT musíte dělat na zařízení, které má do té VPN přístup, a jako zdrojovou IP adresu nastavit IP adresu toho zařízení. Pokud tam má přístup ten současný router, nastavte jako zdrojovou IP adresu IP adresu toho routeru, ne vymyšlenou IP adresu.

[drucik]

Ano, toto zatial ale este neriesim, momentalne skusam spojenie wan-lan, to znamena ze to smerujem priamo do lokalky a este to neposielam do tunelu na inu siet, zatial sa mi ale nepodarilo rozbehat samotne presmerovnie. Asi kaslem na to a idem skusit radsej niekde zohnat cloveka co mi nastavi ten firewall na druhej strane tunelu :). Routing by mal byt dobry sak sa pripajam rovno na router/nat takze tie pakety vedia kade maju ist . Horsie je to s tym maskovanim toho spojenia .. V kadom pripade vdaka za snahu a radu..

[drucik]

Samozrejme tym presmerovanim som myslel zmenu source address na inu a zase spet :), inac tiez som si aj myslel ze staci nastavit nove spojenie a o ostatne sa postara kernel, tam ale nastava pripad ze k cielovej masine to pride pod inou IP takze to posiela naspet na inu IP ako je realna, preto to nastavenie spetneho prekladania destination adresy..

[Matěj Vaňátko]

Jo, asi jsem zapomněl napsat, že samozřejmě ta IP adresa 192.168.1.60 musí být v síti aktivní. To je celkem logické. Proto si ji přidejte na rozhranní vnitřní sítě pomocí příkazu.
ip addr add 192.168.1.60 dev [zarizeni_vnitrni_site]. Pak to s tím, co jsem psal výše jede úplně v klidu a tváří se to jako NAT 1:1.
Mám to odzkoušené a jede to krásně. Viz. tcpdump

smtp:~# tcpdump -i eth1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
13:33:36.638877 IP 192.168.1.4 > 192.168.1.60: ICMP echo request, id 65289, seq 1, length 64
13:33:36.639654 IP 192.168.1.60 > 192.168.1.4: ICMP echo reply, id 65289, seq 1, length 64
13:33:37.641796 IP 192.168.1.4 > 192.168.1.60: ICMP echo request, id 65289, seq 2, length 64
13:33:37.643817 IP 192.168.1.60 > 192.168.1.4: ICMP echo reply, id 65289, seq 2, length 64
13:33:38.645862 IP 192.168.1.4 > 192.168.1.60: ICMP echo request, id 65289, seq 3, length 64
13:33:38.646107 IP 192.168.1.60 > 192.168.1.4: ICMP echo reply, id 65289, seq 3, length 64

smtp:~# tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
13:35:48.226084 IP 10.10.10.120 > 10.10.10.253: ICMP echo request, id 65289, seq 132, length 64
13:35:48.226502 IP 10.10.10.253 > 10.10.10.120: ICMP echo reply, id 65289, seq 132, length 64
13:35:49.230896 IP 10.10.10.120 > 10.10.10.253: ICMP echo request, id 65289, seq 133, length 64
13:35:49.232620 IP 10.10.10.253 > 10.10.10.120: ICMP echo reply, id 65289, seq 133, length 64 

[Filip Jirsák]

No to přesměrování udělejte podle toho, co jsem psal v minulém komentáři. Tedy DNAT na cílovou IP adresu a SNAT na IP adresu routeru.

iptables -t nat -A PREROUTING -p tcp -s 158.235.555.42 --dport 5555 -j DNAT --to 192.168.1.2
iptables -t nat -A POSTROUTING -p tcp -s 158.235.555.42 -d 92.168.1.2 --dport 5555 -j SNAT --to $IP_ROUTERU

[Filip Jirsák]

Samozřejmě ta komunikace pak také musí být povolená na firewallu, takže ve FORWARDu povolit komunikaci z 158.235.555.42 na 192.168.1.2 na portu tcp/5555 a zpět.

[Matěj Vaňátko]

A co když bude chtít zahájit komunikaci ten vnitřní server na ten vnější ? Jednou bude komunikovat s IP routeru a podruhý komunikovat s veřejnou adresou serveru ? Není výhodnější si udělat proto spešl IP, tu povolit na firewallu a vést celou komunikaci přes tu danou IP ?

[Filip Jirsák]

To nebylo v zadání, takže není třeba jasné, jak takovou komunikaci rozeznat. A pravděpodobně už to tazateli dávno funguje, protože NAT z vnitřní sítě do vnější bývá ve většině sítí nastaven.

[Matěj Vaňátko]

To je pravda. V zadání to nebylo. Nicméně, já předpokládám, že je lepší to mít nastavené oboustranně, protože může např. vypadnout elektřina na lokálním serveru a bude to on, kdo zahajuje spojení. Proto bych tam určitě dal, ať to komunikuje jen s "virtuální IP adresou"
iptables -t nat -A PREROUTING -i eth1 -s 192.168.1.2 -d 192.168.1.60 -p tcp --dport 5555 -j DNAT --to 158.235.555.42

[drucik]

Great, vyzera ze to uz funguje aspon priamo na sieti (nemal som tam ten lgoicky prvok, sietovku pre tu IP, som myslel ze s tym packetom vie NAT narabat aj bez interfejsu ale ocivine som sa mylil :( ), teraz to uz len dostat do toho tunelu, problem je v tom ze ked to pingam z ktorehokolvek PC vo LANke tak to ide, priamo z toho NAT/routra sa tam neviem dostat, pritom je pichnuty priamo do VPN koncentratora, vsetko na FW v ramci INPUT/FORWARD/OUTPUT mam nastavene na siete ktore sa tam pouzivaju..

[drucik]

Resp, otazka znie, bude mi toto fungovat aj ked presuniem tu virtualnu 192.168.1.60 niekde na inu masinu v sieti ? Ci musi byt priamo na zariadeni kde sa natuje spojenie...

[drucik]

Hmm, neviem preco ale ked zmenit uz destination addres pre pc na IP ktora je v inej sieti do ktorej to chcem smerovat tak sa mi zdrojova adresa opet javi ako vonkajsia IP, teraz uz fakt nechapem..

[Filip Jirsák]

Ta IP adresa musí být toho routeru, který dělá NAT – odpověď půjde na tuto IP adresu, takže pokud by byla jiného počítače, dostane odpověď ten počítač, nikoli NATující router. A daný počítač žádnou takovou komunikaci nezahajoval, takže odpověď zahodí.

[Matěj Vaňátko]

No, jestli to chápu dobře,tak to máte asi nějak tahle:

INTERNET --> ROUTER --> LOKÁLNÍ SÍŤ --> Klientská PC --> Ten tvůj server, na který chceš VPN spojení
158.235.555.42 --> 192.168.1.60 --> IP adresa toho serveru
Je to takhle správně ? Jestli ano, tak ta 192.168.1.2 musí být adresa toho tvého serveru na který chceš VPN spojení a pak by to mělo vesele běhat, pokud ti to běží pouze na tom portu 5555. Ta IP adresa 192.168.1.60 musí být samozřejmě na tom routeru, protože s ním komunikuje tvůj PC na lokální síti. Jinak, určitě musí IP 192.168.1.60 existovat, protože to by popíralo princip ethernetu, respektive adresaci na L2 vrstvě. K IP adrese musí být i MAC adresa - tzn. protokol ARP
Kdyby se ti to nepovedlo, zkus se fakt večer po 8 hodině ozvat na ICQ, které jsem uváděl výše a můžeme se o tom pobavit víc

[Filip Jirsák]

Linuxový NAT si sám hlídá pakety, které patří do spojení, takže je nesmysl nastavovat NAT zvlášť pro odchozí a příchozí pakety. NAT nastavujete jen pro ty pakety, které zahajují spojení, o ostatní už se postará jádro. Nezapomeňte na to, že při NATu se mohou měnit i porty, takže to vaše ruční NATování obou směru by nefungovalo – protože nevíte třeba původní port požadavku, abyste ho mohl při odpovědi zase vrátit zpět. Proto si ta spojení musí sledovat samotné jádro.