Dotaz: nefunguje POSTROUTING

[imro]

Na jednom nasom produkcnom routeri mame 5 sietoviek.Z toho su 3 do vnutornych sieti,jedna do DMZ a jedna je smerom do internetu-nazvime si ju eth0.V iptables mam pravidlo-hned na zaciatku

$IPTABLES -t nat -A POSTROUTING -o eth0 -j SNAT --to $eth0_ip

Predpokladam,ze toto pravidlo sposobi,ze sa taktiez prepise zdrojova IP adresa pocitacov ktore su umiestnene v DMZ-aj napriek tomu,ze maju verejne ip adresy,pretoze toto pravidlo to prikazuje.Ono to vsak nerobi a ak komunikuje pocitac z DMZ,tak von posiela IP adresu toho pocitaca v DMZ a nie IP adresu routra.Co sa deje?

Odpovědi

[Petr Šobáň]

A neprochází ti to pouze přes jinou tabulku v DMZ máš veřejné IP ne ?

Takže to projde pouze přes FORWARD a né přes tabulku nat ?

Pokud píšu blbosti tak mě nekamenujte moc dobře ještě nechápu jak ty jednotlivé tabulky navazují na sebe s těmi postroutingy a preroutingy.

[imro]

No,ja som si doteraz myslel,ze to funguje takto:

1.kazdy paket prechadzajuci routerom prejde chainom prerouting,potom sa rozhodne,ci sa forwarduje alebo nie-ak ano,tak prejde chainom forward a nakoniec prejde chainom postrouting.

2.Takze,podla mna by to malo nat-ovat aj compy v DMZ s verejnymi IP adresami

Ako to teda je?

[Michal Marek (twofish)]

Každý packet ne, jenom ten, který začne spojení. Takže pro jistotu: O jaká spojení (jakým směrem) ti vlastně jde -- z DMZ ven, nebo zvenku do DMZ?

[imro]

Ano,mas pravdu,nat tabulka funguje iba pre prvy paket spojenia.Ide mi o spojenie smeroz z DMZ von do internetu.Doteraz som si myslel,ze kazdy paket zacinajuci spojenie musi prejst PREROUTINGOM a POSTROUTINGOM a ak vyhovuje niektoremu pravidlu v tejto tabulke,tak sa nan aplikuje.To u verejnych IP adries nefunguje?Ide mi hlavne o ten postrouting z DMZ do internetu.Adresy IP v DMZ su samozrejme verejne.

[Michal Marek (twofish)]

No dobře, tak je asi něco v nepořádku... když před ten SNAT dáš

iptables -t nat -A POSTROUTING -o eth0 -j LOG --log-prefix test

tak ty packety vidíš? BTW jakým způsobem je nastavené routování zvenku na ty počítače v DMZ? Jestli tam není z dřívějška zapomenutý SNAT - DNAT...

[imro]

Nie,ked to chcem zalogovat,tak nic nevidim.Napr.skus si pingnut 82.99.137.34.Mal by si dostat odpoved od 82.99.137.2,ale dostanes ho z toho compu.To logovanie mi nepomaha.BTW,ten log je uplne prvy v pravidlach,hned ponom nasleduje to pravidlo v POSTROUTING.Pripada mi to fakt divne.Inac,pouzivam debian Sarge a iptables 1.2.11-8.P.S.a necuduj sa,ze ti tu hadzem rovno ip adresy tych compov.Aj tak su verejne dostupne z netu.A tie portscany co denne odchytavam:)))

[Michal Marek (twofish)]

Ale tyhle pingy jsou právě "spojení" zvenku do DMZ, takže na ně se to pravidlo nevztahuje (spojení vytvoří ten echo-request zvenku).

[imro]

Jo,mas pravdu,ale ono to nefunguje ani ked sa pingam z DMZ niekam von:((