Dotaz: Tunel pres Server na FTP ve widlich

[Gawein]

Zdravim, mam takovy problem, jelikoz mam vnitrni ip adresu a jen 1 verejnou, udelal jsem si tunel s hlavniho server k sobe na pocitac kde mi bezi osobni apache a totez bych chtel udelat abych se z venci dostal na svoje FTP, ale nejde to. Kamaradi se ke me zacnou logovat ale nikdy nic nestahnou. Mohli byste mi poradit co jeste udelat aby to jelo. Delam to takto iptables -t nat -p tcp -A PREROUTING -d 1.1.1.1 --dport 2000 -j DNAT --to-destination 192.168.1.1:21 iptables -A INPUT -p tcp --destination-port 2000 -j ACCEPT.Dik

Odpovědi

[Libor Klepac]

zkus vymenit INPUT za FORWARD

[gelehed]

EE toto nefunguje s FORWARD, ale je to logicke. Je jasne ze musi byt kanal dovnitr a ven, ale jak na to? Kdo vi

[Libor Klepac]

INPUT retezec plati jenom pro pakety ,co konci na te brane ...coz tyhle nejsou ... nebo jak jsi myslel tu svoji vetu?

[Michal Marek (twofish)]

Čitelné to moc není, ale INPUT je tam IMHO správně, protože ty pakety jsou adresovány routeru, který je pak přesměruje.

[Libor Klepac]

kazdopadne mi doma funguje takovehle presmerovani ...ale tam se nemeni cislo portu, takze nevim ...

$IPT -A PREROUTING -t nat      -p tcp --dport 30000:30999 -i $INET_IFACE -j DNAT --to 10.10.10.2:30000-30999
$IPT -A FORWARD -i $INET_IFACE -p tcp -d 10.10.10.2 --dport 30000:30999 -j ACCEPT

[Michal Marek (twofish)]

Aha, hmm... možná plácám.

Každopádně ip_{nat,conntrack}_ftp je vhodná potrava pro Google

[Michal Marek (twofish)]

FTP je pro firewall docela problém, protože potřebuje ještě datovou konexi. Je na to potřeba modul ip_nat_ftp, ale nevím přesně jak na to (jestli se mu má zadat port 2000 nebo 21 nebo jak) :(

[Michal Čihař]

Spíš je potřeba ip_conntrack_ftp, pomocí paramteru ports se modulu dá říct o jaké porty se má starat.

[Alibaba]

ip_nat_ftp je pro aktivni ftp...

[gelehed]

Jeste otazecka, jak ten modul nahodim?

[Michal Čihař]

pomocí modprobe

[Michal Marek (twofish)]

Jo ale aktivní režim (server navazuje datové NATem i kamarádi...

[Michal Marek (twofish)]

To jsem se nějak ukliknul. Chtěl jsem napsat, že pokud kamarádi nejsou za NATem, tak by aktivní režim (kdy datové spojení navazuje server) měl fungovat.

[gelehed]

Kamaradi jsou uplne v jinych sitich ale bohuzel to nefici. Firewall mi je ohlasi.