Dotaz: Presmerovani portu do VPN

[Map]

Příloha:

• iptables.txt (1606 bytů)

Zdravím a prosím o pomoc. Mám CentOS server s verejnou IP, na kterém jsem rozjel VPN (Libreswan, IPSec). Funguje to a k serveru se muzu pripojit z jine site, z Windows klienta. Windows klient dostane adresu 192.168.42.10.

Potreboval bych na server dodat forward portu 8100 na ten pocitac ve VPN - take 8100. V logu je server a jeho public IP znacena jako XXX.YYY.UUU.ZZZ. Dodal jsem pravidla podle navodu a povolil net.ipv4.ip_forward. Bohuzel to nefunguje, jeste ani nemuzu provest ping ze serveru na VPN klienta. VPN klient 192.168.42.10 se na 192.168.42.1 dopingne.

Byl by někdo ochotný poradit, jak to spravit, výpis iptables zde, nebo v souboru...

# Generated by iptables-save v1.4.21 on Sat May 19 16:18:11 2018
*nat
:PREROUTING ACCEPT [14:1309]
:INPUT ACCEPT [11:1153]
:OUTPUT ACCEPT [8:480]
:POSTROUTING ACCEPT [8:480]
-A PREROUTING -d XXX.YYY.UUU.ZZZ/32 -p tcp -m tcp --dport 8100 -j DNAT --to-destination 192.168.42.10:8100
-A POSTROUTING -s 192.168.42.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.43.0/24 -o eth0 -m policy --dir out --pol none -j MASQUERADE
-A POSTROUTING -d 192.168.42.10/32 -p tcp -m tcp --dport 8100 -j SNAT --to-source 192.168.42.1
COMMIT
# Completed on Sat May 19 16:18:11 2018
# Generated by iptables-save v1.4.21 on Sat May 19 16:18:11 2018
*filter
:INPUT ACCEPT [1211:101883]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [12168:2311930]
:f2b-SSH - [0:0]
-A INPUT -p tcp -m tcp --dport 22 -j f2b-SSH
-A INPUT -p udp -m udp --dport 1701 -m policy --dir in --pol none -j DROP
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m multiport --dports 500,4500 -j ACCEPT
-A INPUT -p udp -m udp --dport 1701 -m policy --dir in --pol ipsec -j ACCEPT
-A INPUT -p udp -m udp --dport 1701 -j DROP
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -i eth0 -o ppp+ -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ppp+ -o eth0 -j ACCEPT
-A FORWARD -s 192.168.42.0/24 -d 192.168.42.0/24 -i ppp+ -o ppp+ -j ACCEPT
-A FORWARD -d 192.168.43.0/24 -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.43.0/24 -o eth0 -j ACCEPT
-A FORWARD -j DROP
-A f2b-SSH -j RETURN
COMMIT

Odpovědi

[NN]

Otestuj to bez tohoto radku:

-A FORWARD -j DROP

[Map]

Ten DROP je v pořadí až na konci, neměl by tam snad vadit? A ten prvni je jen pro INVALID...

Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 DROP all -- anywhere anywhere ctstate INVALID
2 ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED
3 ACCEPT all -- anywhere anywhere
4 ACCEPT all -- 192.168.42.0/24 192.168.42.0/24
5 ACCEPT all -- anywhere 192.168.43.0/24 ctstate RELATED,ESTABLISHED
6 ACCEPT all -- 192.168.43.0/24 anywhere
7 DROP all -- anywhere anywhere

[Mti.]

windowsy obcas maji zaple ukrutne prisne utajeni a neodpovidaji na ping ani v lokalni siti... to jen k tomu pingu ze serveru. Z jine masiny lokalne je pingnes? :)

[drnest]

V lokalní síti se dá použít arping, na ten to odpoví i když na klasický ping neodpovídá.

[Map]

Mam to bohuzel na jine podsiti, takze se na to ze sve site pingem momentalne nedostanu.
Napadlo me jestli to nema nejake pomatene, protoze mi prijde ze traceroute jde asi spatnym smerem, nemel by jit spis pres 192.168.42.1?

traceroute 169.168.42.10

traceroute to 169.168.42.10 (169.168.42.10), 30 hops max, 60 byte packets
1 3.219.forpsi.net (195.181.219.3) 128.571 ms 128.568 ms 128.758 ms
2 secondary.dog.forpsi.net (81.2.192.4) 4.377 ms 4.479 ms 4.594 ms
3 * * *
4 * * *
5 * * *
...atd

[NN]

To bude tou maskaradou, ktera je pred SNAT a ma prednost:

-A POSTROUTING -s 192.168.42.0/24 -o eth0 -j MASQUERADE

Doporucuji pouzit klasicke nastroje jako ping,telnet a tcpdump.

[GeorgeWH]

Pokial to nie je zle skopirovane, tak to bude tou ip 169.168.42.10.

[Peter Golis]

Ja som si myslel že to robí pre Citi bank v USA, Tá IPka je ich.