Dotaz: ADSL x FIREWALL potřetí

[Kamorek]

Dobrý večer, vím, že se to tu již několikrát řešilo, ale nic nevyhovuje mým podmínkám. Na adsl mám rozhraní: eth0 192.168.0.1, eth1 10.0.0.120, ppp0 (po vytočení s veřejnou IP 213.210.122.135) Chci postavit transparentní proxy. (Z klienta pojede http,ftp,icq) Chci povolit i ssh-prot 22. (Squid je off)

Můj firewall vypadá takto: modprobe ip_tables modprobe ip_conntrack modprobe ip_conntrack_ftp modprobe ipt_MASQUERADE #Maskarada iptables -A INPUT -i lo -p all -j ACCEPT iptables -A OUTPUT -o lo -p all -j ACCEPT

echo "1" > /proc/sys/net/ipv4/ip_forward modprobe iptable_nat modprobe ip_nat_ftp iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE --to 213.210.122.135

Z klienta mi nefunguje ven ani ping... Ví někdo radu? Dík předem.

Odpovědi

[Kamorek]

Pardon..... tka asi tak

modprobe ip_tables

modprobe ip_conntrack

modprobe ip_conntrack_ftp

modprobe ipt_MASQUERADE

#Maskarada iptables -A INPUT -i lo -p all -j ACCEPT iptables -A OUTPUT -o lo -p all -j ACCEPT

echo "1" > /proc/sys/net/ipv4/ip_forward

modprobe iptable_nat modprobe ip_nat_ftp iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE --to 213.210.122.135

Dík moc

[Michal Marek (twofish)]

Technicka: na vypisy skriptu, vystupy programu etc. se pouziva html tag pre (viz nize).

ADM: Nemohl by to nekto opravit?

Co jste chtel rict timto? (ted bude tag pre)

iptables -t nat -A POSTROUTING \
-o eth1 -j MASQUERADE --to 213.210.122.135
   ^^^^

Z prve pisete, ze vnejsi rozhrani je ppp0, zadne eth1. Za druhe u MASQUERADE je parametr --to-ports. Ten se snad da zkratit na --to, ale se urcuje jake porty se maji pouzit, zdrojova adresa se nemeni.

Takze spravnejsi reseni by bylo

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

porty at pouziva jake chce.

Co jste mozna tim --to chtel nastavit je tohle:

iptables -t nat -A POSTROUTING\
 -o ppp0 -j SNAT --to-source 213.210.122.135

Coz by melo zajistit, ze se vam neprerusi TCP spojeni, pokud to na chvili spadne (pripojeni, ne pocitac ;-))

Ty dva radky s loopback rozhranim jsou tam IMHO zbytecne, ale snad nevadi ;)

PS: Doufam ze jsem neudelal zadnou vecnou chybu, ale kdyztak me nekdo opravte.

[kmail Šperka]

no, už je moc hodin a nasekal jsem chyby už do dotazu. Jak muze pak vypadat vysledek Dim moc, zitra to zkusim. (event. se ozvu)

[Kamil Šperka]

JEDE JEDE! SUPR. Použil jsem pouze tu maškarádu. SSNAT prej ve vytáčených připojeních nejede... Dík Kama

[kamil Šperka]

Omlouvam se, kecam nesmysly. Použil jsem samozrejme pouze MASQERADE. SNAT se totiz pouziva (pry) pouze u pevnych pripojeni. MASQERADE u vytacenych, cimz ADSL je. Dik Kama

[Michal Marek (twofish)]

Ja jsem to pochopil tak, ze kdyz mate pridelenou pevnou IP adresu tak by mel jit SNAT. Ale hlavne ze aspon neco funguje

[Kamorek]

No, pevna adresa a SNAT sice ano, ale docetl jsem se, ze v pripade Vytaceneho pripojeni by mela byt postavena MASKarada, v pripade pevneho spoje SNAT. Ale ten SNAT vyzkousim. Mate pravdu. Dam jeste vedet. Díky

[Michal Marek (twofish)]

V tom manualu se pise

It [MASQUERADE] should only be used with dynamically assigned IP (dialup) connections: if you have a static IP address, you should use the SNAT target.

To vase ADSL je takova chytra horakyne: dialup spojeni se statickou IP adresou , takze to musite vyzkouset. Ale hlavne pokud nepouzivate casto veci jako SSH, FTP, IMAP etc. nebo to pripojeni moc nepada, tak vam to snad muze byt jedno.

[Mirek Nechvátal]

Vy žijete v Rusku?