Dotaz: iptables PREROUTING

[motorcb]

Mám v síti, že počítače musí nejprve odsouhlasit pravidla chování se na síti a poté jim je zprovozněn internet. Defaultně pro celý subnet mám přesměrovaný port 80 na port serveru, kde jsou k osouhlasení pravidla chování se na síti.

iptables -t nat -I PREROUTING -i eth1 -p tcp -s 172.16.0.0/24 --dport 80 -j DNAT --to 172.16.0.1:80

Po odsouhlasení chci spustit příkaz, který přes iptables povolí komunikaci portu 80 do internetu a nebude jej přesměrovávat na server.

Nevedel by nekdo jak napsat prikaz pro iptables, který povolý komunikaci na port do internetu? Např. pro IP 172.16.0.100

Diky za rady a nakopnutí

---

---

Odpovědi

[NN]

Myslim, ze by pred to stacilo predhodit:

iptables -A FORWARD -s 172.16.0.100 --destination-port 80 -j ACCEPT

NN

[toxLinuch]

Prez FORWARD to nepujde jelikoz PREROUTING v nat tabulce se spracovava pred FORWARD pravidly. Takze do PREROUTINGU dat pred stavajici pravidlo s presmerovanim

iptables -A PREROUTING -t nat -s 172.16.0.100 -p tcp --dport 80 -j RETURN

pripadne

iptables -t nat -I PREROUTING [cislo radku] -s 172.16.0.100 -p tcp --dport 80 -j RETURN

[NN]

To jo ale kdyz to pravidlo bude pred tim PREROUTINGEM tak to prece propadne nebo ne ? Ja myslel, ze se pravidla spracovavaji postupne..

NN

[pavlix]

Jen v rámci řetězů.

[Filip Jirsák]

Vytvořte si nový chain, do kterého přesměrujte zkoumanou komunikaci (-i eth1 -p tcp -s 172.16.0.0/24 --dport 80). Přidejte do něj to pravidlo pro přesměrování (-j DNAT --to 172.16.0.1:80) a pak na začátek přidávejte pravidla pro odsouhlasené IP adresy s cílem RETURN. Zhruba takhle:

iptables -N odsouhlaseni
iptables -t nat -A PREROUTING -i eth1 -p tcp -s 172.16.0.0/24 --dport 80 -j odsouhlaseni
#povoleni pro IP 172.16.0.100
iptables -I odsouhlaseni 0 -s 172.16.0.100 -j RETURN

[Jendа]

-p tcp

A co když se protuneluje pře UDP? Nebo třeba přes lokální DNS server?

[petka]

Uz jsem resil , nastaveni nahravam z mysql , zapisuju do vlastniho kofiguraku a ctu timhle scriptem .

echo "Nahravam seznam presmerovanych adres..."

 let a=0;

 while read line ; do

 wan_port=`echo $line | awk '{print $1}'`;

 lan_ip=`echo $line | awk '{print $2}'`;

 lan_port=`echo $line | awk '{print $3}'`;

 $IPTABLES -A INPUT -i $WAN -p TCP -s 0/0 -d $WAN_IP --dport $wan_port -j ACCEPT;

 $IPTABLES -t nat -A PREROUTING -i $WAN -p TCP --dport $wan_port -j DNAT --to $lan_ip:$lan_port;

 $IPTABLES -A FORWARD -p TCP -i $WAN -d $lan_ip --dport $lan_port -j ACCEPT;

 let a=$a+1;

 done < $VIRTUAL_SERVERS ;

 echo "Celkem nahrano ($a) presmerovani."

Je to jen vytazek z celeho firewall scriptu .
Konfigurak asi nejak takhle .

8000    192.168.0.4    80

8080    192.168.0.4    8080