Dotaz: iptables forward portu na jinou IP

[RadekXxX]

Zdravím,

mam router s venkovní adresou $INET_IP a vnitřní adresou 192.168.1.1, druhý server na vnitřní síti s adresou 192.168.1.2 má službu na portu 8008 a potřebuji aby tato služba byla dostupná odevšud. Na obou serverech je v iptables default policy ACCEPT. Na routeru je nastaveno:

iptables -t nat -A PREROUTING -p tcp --dport 8008 -j DNAT --to 192.168.1.2:8008
iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP   

Připojení z jiného stroje z vnitřní sítě funguje, i připojení z internetu funguje, ale pokud se chci připojit přímo z toho routeru pomocí doménového názvu veřejné IP, tak to nejde, nemůžu použít přímo adresu toho stoje, protože je nutné zadat doménový název kvůli certifikátu.

---

---

Odpovědi

[NN]

iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP

Tohle, tam nema co delat.

[RadekXxX]

Když to oddělám, tak to nepomůže, navíc přestane fungovat připojení z ostatních strojů z lokální sítě.

[Filip Jirsák]

DNAT z venku je v poradku. SNAT na verejnou IP uz ne. Spravne si na routeru mas nastavit staticke DNS, ktere bude zarizenim na vnitrni siti vracet mojedomena.cz = 192.168.1.2 . Lokalni komunikace pres router vubec nepujde. Stejne tak si to prelozi i router. Ted zjisti, ze mojedomena.cz je on sam, ale na portu 8008 ni nebezi a tak to zahodi.

[RadekXxX]

Dekuji za radu, vyresil jsem to pres BIND, toto reseni me vubec nenapadlo, je funkcni, akorat se musi myslet na to, ze nenastavuji pravidla v jednom scriptu pro iptables, ale musim upravovat i zonovy soubor.

[Michal Kubeček]

Má to tam co dělat, jinak odpověď pro klienty ve vnitřní síti půjde přímo a nepřeloží se jak má (pokud se to neobejde tím trikem s DNS, ale to taky není ideální). Problém je ale v tom, že obě ta pravidla jsou příliš obecná. Takže bych navrhoval spíš něco jako

  iptables -t nat -A PREROUTING -i $INTIF -d $EXTIP -p tcp --dport 8008 \
      -j DNAT --to 192.168.1.2:8008
  iptables -t nat -A POSTROUTING -i $INTIF -d 192.168.1.2 -j SNAT --to $INTIP

(INTIF je vnitřní rozhraní, INTIP vnitřní adresa a EXTIP vnější adresa). Kdysi dávno jsem tu na toto téma sepsal celý dokument.

[NN]

V tom pripade bude potreba jeste znovu pokryt DNAT z venku.. Nevim, osobne povazuji reseni pres DNS za cistsi a nemusi to byt nutne pohledy v bindu. Nektere routery tuto funkcionalitu primo nabizi. Obecne souhlasim s nazorem v clanku, ze server v LAN nema co delat. K tomu slouzi DMZ, nebo samostatny serverovy segment.

[Michal Kubeček]

V tom pripade bude potreba jeste znovu pokryt DNAT z venku..

Eh, to byla chyba, v tom prvním pravidle nemělo být "-i $INTIF" (a nebo by bylo potřeba přidat ještě druhé pro $EXTIF).

[RadekXxX]

Ono se nejedná úplně o router, je to klasický server s Proxmoxem, volnou IP adresu pro ten stroj kam se to má směrovat bych měl, ale nechtěl jsem ji na to vyplácat, protože se jedná o samostatný server, který slouží "jenom" k zálohování, běží tam Restic server v režimu append-only a firewall povoluje pouze jeden port 8008, nic víc, ani ssh.

[RadekXxX]

Já jsem ty pravidla měl nastaveny striktně, ale jelikož jsem řešil tento problém, tak jsem je hodně "uvolňoval", včetně default policy ACCEPT, ale to vše jenom pro testování, abych eliminoval možně chyby v iptables (z mé strany)

[Filip Jirsák]

Pakety z lokálních procesů nejdou v nat tabulce přes PREROUTING, místo toho jdou přes OUTPUT. Takže pokud chcete, aby vám ten forward fungoval i přímo z toho routeru s veřejnou IP adresou, musíte to DNAT pravidlo zopakovat ještě jednou pro řetězec OUTPUT.

Zda pro lokální síť přepisovat DNS nebo použít SNAT je otázka – když použijete SNAT, zatěžujete tou komunikací router. Řešení s DNS bývalo dříve jednodušší, teď vám to může zkomplikovat DNSSEC – pokud ho máte na doméně nasazený, budete muset podepisovat i ty záznamy pro lokální síť. Ne že by to bylo neřešitelné, ale je to komplikace a nejspíš to bude znamenat, že se musíte vzdát automatické správy klíčů DNS serverem a řešit to ručně.