abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 12:11 | Bezpečnostní upozornění

    Byly publikovány informace (txt) o zranitelnostech CVE-2025-5054 v Apport a CVE-2025-4598 v systemd-coredump. Lokální uživatel se může dostat k výpisu paměti programu (core dump) s SUID a přečíst si tak například /etc/shadow.

    Ladislav Hagara | Komentářů: 0
    dnes 11:11 | IT novinky

    Společnost Valve aktualizovala přehled o hardwarovém a softwarovém vybavení uživatelů služby Steam. Podíl uživatelů Linuxu aktuálně činí 2,69 %. Nejčastěji používané linuxové distribuce jsou Arch Linux, Linux Mint a Ubuntu. Při výběru jenom Linuxu vede SteamOS Holo s 30,95 %. Procesor AMD používá 68,77 % hráčů na Linuxu.

    Ladislav Hagara | Komentářů: 0
    včera 23:22 | Nová verze

    Byla vydána verze 4.0 open source programu na kreslení grafů Veusz (Wikipedie). Přehled novinek v poznámkách k vydání. Proběhla portace na Qt 6.

    Ladislav Hagara | Komentářů: 0
    včera 11:44 | Nová verze

    Dibuja je jednoduchý kreslící program inspirovaný programy Paintbrush pro macOS a Malování pro Windows. Vydána byla verze 0.26.0.

    Ladislav Hagara | Komentářů: 0
    31.5. 23:33 | Nová verze

    Byla vydána nová verze 9.13 z Debianu vycházející linuxové distribuce DietPi pro (nejenom) jednodeskové počítače. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    31.5. 21:44 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE Plasma? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE Plasma.

    Ladislav Hagara | Komentářů: 0
    31.5. 16:33 | Nová verze

    Byla vydána nová stabilní verze 3.22.0, tj. první z nové řady 3.22, minimalistické linuxové distribuce zaměřené na bezpečnost Alpine Linux (Wikipedie) postavené na standardní knihovně jazyka C musl libc a BusyBoxu. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    30.5. 00:33 | IT novinky

    FEL ČVUT vyvinula robotickou stavebnici pro mladé programátory. Stavebnice Brian byla navržená speciálně pro potřeby populární Robosoutěže. Jde ale také o samostatný produkt, který si může koupit každý fanoušek robotiky a programování od 10 let, ideální je i pro střední školy jako výuková pomůcka. Jádro stavebnice tvoří programovatelná řídicí jednotka, kterou vyvinul tým z FEL ČVUT ve spolupráci s průmyslovými partnery. Stavebnici

    … více »
    Ladislav Hagara | Komentářů: 64
    29.5. 20:33 | Komunita

    Ubuntu bude pro testování nových verzí vydávat měsíční snapshoty. Dnes vyšel 1. snapshot Ubuntu 25.10 (Questing Quokka).

    Ladislav Hagara | Komentářů: 0
    29.5. 14:55 | Nová verze

    Společnost Netgate oznámila vydání nové verze 2.8.0 open source firewallové, routovací a VPN platformy pfSense (Wikipedie) postavené na FreeBSD. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    Jaký je váš oblíbený skriptovací jazyk?
     (55%)
     (32%)
     (7%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 175 hlasů
     Komentářů: 14, poslední dnes 08:30
    Rozcestník

    Dotaz: iptables forward portu na jinou IP

    25.8.2019 14:22 RadekXxX | skóre: 10
    iptables forward portu na jinou IP
    Přečteno: 353×
    Zdravím,

    mam router s venkovní adresou $INET_IP a vnitřní adresou 192.168.1.1, druhý server na vnitřní síti s adresou 192.168.1.2 má službu na portu 8008 a potřebuji aby tato služba byla dostupná odevšud. Na obou serverech je v iptables default policy ACCEPT. Na routeru je nastaveno:
    iptables -t nat -A PREROUTING -p tcp --dport 8008 -j DNAT --to 192.168.1.2:8008
    iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP   
    
    Připojení z jiného stroje z vnitřní sítě funguje, i připojení z internetu funguje, ale pokud se chci připojit přímo z toho routeru pomocí doménového názvu veřejné IP, tak to nejde, nemůžu použít přímo adresu toho stoje, protože je nutné zadat doménový název kvůli certifikátu.

    Řešení dotazu:


    Odpovědi

    25.8.2019 15:02 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP
    Tohle, tam nema co delat.
    25.8.2019 15:21 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Když to oddělám, tak to nepomůže, navíc přestane fungovat připojení z ostatních strojů z lokální sítě.
    Řešení 1× (Filip Jirsák)
    25.8.2019 16:02 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    DNAT z venku je v poradku. SNAT na verejnou IP uz ne. Spravne si na routeru mas nastavit staticke DNS, ktere bude zarizenim na vnitrni siti vracet mojedomena.cz = 192.168.1.2 . Lokalni komunikace pres router vubec nepujde. Stejne tak si to prelozi i router. Ted zjisti, ze mojedomena.cz je on sam, ale na portu 8008 ni nebezi a tak to zahodi.
    25.8.2019 22:57 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Dekuji za radu, vyresil jsem to pres BIND, toto reseni me vubec nenapadlo, je funkcni, akorat se musi myslet na to, ze nenastavuji pravidla v jednom scriptu pro iptables, ale musim upravovat i zonovy soubor.
    25.8.2019 19:15 Michal Kubeček | skóre: 72 | Luštěnice
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP

    Má to tam co dělat, jinak odpověď pro klienty ve vnitřní síti půjde přímo a nepřeloží se jak má (pokud se to neobejde tím trikem s DNS, ale to taky není ideální). Problém je ale v tom, že obě ta pravidla jsou příliš obecná. Takže bych navrhoval spíš něco jako

      iptables -t nat -A PREROUTING -i $INTIF -d $EXTIP -p tcp --dport 8008 \
          -j DNAT --to 192.168.1.2:8008
      iptables -t nat -A POSTROUTING -i $INTIF -d 192.168.1.2 -j SNAT --to $INTIP
    
    (INTIF je vnitřní rozhraní, INTIP vnitřní adresa a EXTIP vnější adresa). Kdysi dávno jsem tu na toto téma sepsal celý dokument.
    25.8.2019 19:55 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    V tom pripade bude potreba jeste znovu pokryt DNAT z venku.. Nevim, osobne povazuji reseni pres DNS za cistsi a nemusi to byt nutne pohledy v bindu. Nektere routery tuto funkcionalitu primo nabizi. Obecne souhlasim s nazorem v clanku, ze server v LAN nema co delat. K tomu slouzi DMZ, nebo samostatny serverovy segment.
    25.8.2019 21:12 Michal Kubeček | skóre: 72 | Luštěnice
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    V tom pripade bude potreba jeste znovu pokryt DNAT z venku..

    Eh, to byla chyba, v tom prvním pravidle nemělo být "-i $INTIF" (a nebo by bylo potřeba přidat ještě druhé pro $EXTIF).

    25.8.2019 22:50 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Ono se nejedná úplně o router, je to klasický server s Proxmoxem, volnou IP adresu pro ten stroj kam se to má směrovat bych měl, ale nechtěl jsem ji na to vyplácat, protože se jedná o samostatný server, který slouží "jenom" k zálohování, běží tam Restic server v režimu append-only a firewall povoluje pouze jeden port 8008, nic víc, ani ssh.
    25.8.2019 22:40 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Já jsem ty pravidla měl nastaveny striktně, ale jelikož jsem řešil tento problém, tak jsem je hodně "uvolňoval", včetně default policy ACCEPT, ale to vše jenom pro testování, abych eliminoval možně chyby v iptables (z mé strany)
    Řešení 1× (Filip Jirsák)
    25.8.2019 23:26 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Pakety z lokálních procesů nejdou v nat tabulce přes PREROUTING, místo toho jdou přes OUTPUT. Takže pokud chcete, aby vám ten forward fungoval i přímo z toho routeru s veřejnou IP adresou, musíte to DNAT pravidlo zopakovat ještě jednou pro řetězec OUTPUT.

    Zda pro lokální síť přepisovat DNS nebo použít SNAT je otázka – když použijete SNAT, zatěžujete tou komunikací router. Řešení s DNS bývalo dříve jednodušší, teď vám to může zkomplikovat DNSSEC – pokud ho máte na doméně nasazený, budete muset podepisovat i ty záznamy pro lokální síť. Ne že by to bylo neřešitelné, ale je to komplikace a nejspíš to bude znamenat, že se musíte vzdát automatické správy klíčů DNS serverem a řešit to ručně.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.