abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 17:00 | Upozornění

    Národní identitní autorita, tedy NIA ID, MeG a eOP jsou nedostupné. Na nápravě se pracuje [𝕏].

    Ladislav Hagara | Komentářů: 1
    dnes 16:44 | IT novinky

    Americký výrobce čipů Nvidia se stal první firmou na světě, jejíž tržní hodnota dosáhla pěti bilionů USD (104,5 bilionu Kč). Nvidia stojí v čele světového trhu s čipy pro umělou inteligenci (AI) a výrazně těží z prudkého růstu zájmu o tuto technologii. Nvidia již byla první firmou, která překonala hranici čtyř bilionů USD, a to letos v červenci.

    Ladislav Hagara | Komentářů: 2
    dnes 14:11 | Komunita

    Po Canonicalu a SUSE oznámil také Red Hat, že bude podporovat a distribuovat toolkit NVIDIA CUDA (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    dnes 13:55 | Nová verze

    TrueNAS (Wikipedie), tj. open source storage platforma postavená na Linuxu, byl vydán ve verzi 25.10 Goldeye. Přináší NVMe over Fabric (NVMe-oF) nebo OpenZFS 2.3.4.

    Ladislav Hagara | Komentářů: 0
    dnes 13:33 | Nová verze

    Byla vydána OpenIndiana 2025.10. Unixový operační systém OpenIndiana (Wikipedie) vychází z OpenSolarisu (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    dnes 13:22 | Zajímavý článek

    České základní a střední školy čelí alarmujícímu stavu kybernetické bezpečnosti. Až 89 % identifikovaných zranitelností v IT infrastruktuře vzdělávacích institucí dosahuje kritické úrovně, což znamená, že útočníci mohou vzdáleně převzít kontrolu nad klíčovými systémy. Školy navíc často provozují zastaralé technologie, i roky nechávají zařízení bez potřebných aktualizací softwaru a používají k nim pouze výchozí, všeobecně známá

    … více »
    Ladislav Hagara | Komentářů: 6
    dnes 05:11 | Komunita

    Během tradiční ceremonie k oslavě Dne vzniku samostatného československého státu (28. října) byl vyznamenán medailí Za zásluhy (o stát v oblasti hospodářské) vývojář 3D tiskáren Josef Průša. Letos byly uděleny pouze dvě medaile Za zásluhy o stát v oblasti hospodářské, druhou dostal informatik a manažer Ondřej Felix, který se zabývá digitalizací státní správy.

    🇹🇬 | Komentářů: 33
    dnes 04:44 | Nová verze

    Tor Browser, tj. fork webového prohlížeče Mozilla Firefox s integrovaným klientem sítě Tor přednastavený tak, aby přes tuto síť bezpečně komunikoval, byl vydán ve verzi 15.0. Postaven je na Firefoxu ESR 140.

    Ladislav Hagara | Komentářů: 2
    včera 16:44 | Nová verze

    Bylo oznámeno (cs) vydání Fedora Linuxu 43. Ve finální verzi vychází šest oficiálních edic: Fedora Workstation a Fedora KDE Plasma Desktop pro desktopové, Fedora Server pro serverové, Fedora IoT pro internet věcí, Fedora Cloud pro cloudové nasazení a Fedora CoreOS pro ty, kteří preferují neměnné systémy. Vedle nich jsou k dispozici také další atomické desktopy, spiny a laby. Podrobný přehled novinek v samostatných článcích na stránkách Fedora Magazinu: Fedora Workstation, Fedora KDE Plasma Desktop, Fedora Silverblue a Fedora Atomic Desktops.

    Ladislav Hagara | Komentářů: 0
    včera 15:22 | IT novinky

    Elon Musk oznámil (𝕏) spuštění internetové encyklopedie Grokipedia (Wikipedia). Zatím ve verzi 0.1. Verze 1.0 prý bude 10x lepší, ale i ve verzi 0.1 je podle Elona Muska již lepší než Wikipedia.

    Ladislav Hagara | Komentářů: 20
    Jaké řešení používáte k vývoji / práci?
     (36%)
     (48%)
     (20%)
     (19%)
     (23%)
     (17%)
     (21%)
     (17%)
     (17%)
    Celkem 281 hlasů
     Komentářů: 14, poslední 14.10. 09:04
    Rozcestník

    Dotaz: iptables forward portu na jinou IP

    25.8.2019 14:22 RadekXxX | skóre: 10
    iptables forward portu na jinou IP
    Přečteno: 362×
    Zdravím,

    mam router s venkovní adresou $INET_IP a vnitřní adresou 192.168.1.1, druhý server na vnitřní síti s adresou 192.168.1.2 má službu na portu 8008 a potřebuji aby tato služba byla dostupná odevšud. Na obou serverech je v iptables default policy ACCEPT. Na routeru je nastaveno:
    iptables -t nat -A PREROUTING -p tcp --dport 8008 -j DNAT --to 192.168.1.2:8008
    iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP   
    
    Připojení z jiného stroje z vnitřní sítě funguje, i připojení z internetu funguje, ale pokud se chci připojit přímo z toho routeru pomocí doménového názvu veřejné IP, tak to nejde, nemůžu použít přímo adresu toho stoje, protože je nutné zadat doménový název kvůli certifikátu.

    Řešení dotazu:


    Odpovědi

    25.8.2019 15:02 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    iptables -t nat -A POSTROUTING -p tcp --dport 8008 -d 192.168.1.2 -j SNAT --to-source $INET_IP
    Tohle, tam nema co delat.
    25.8.2019 15:21 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Když to oddělám, tak to nepomůže, navíc přestane fungovat připojení z ostatních strojů z lokální sítě.
    Řešení 1× (Filip Jirsák)
    25.8.2019 16:02 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    DNAT z venku je v poradku. SNAT na verejnou IP uz ne. Spravne si na routeru mas nastavit staticke DNS, ktere bude zarizenim na vnitrni siti vracet mojedomena.cz = 192.168.1.2 . Lokalni komunikace pres router vubec nepujde. Stejne tak si to prelozi i router. Ted zjisti, ze mojedomena.cz je on sam, ale na portu 8008 ni nebezi a tak to zahodi.
    25.8.2019 22:57 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Dekuji za radu, vyresil jsem to pres BIND, toto reseni me vubec nenapadlo, je funkcni, akorat se musi myslet na to, ze nenastavuji pravidla v jednom scriptu pro iptables, ale musim upravovat i zonovy soubor.
    25.8.2019 19:15 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP

    Má to tam co dělat, jinak odpověď pro klienty ve vnitřní síti půjde přímo a nepřeloží se jak má (pokud se to neobejde tím trikem s DNS, ale to taky není ideální). Problém je ale v tom, že obě ta pravidla jsou příliš obecná. Takže bych navrhoval spíš něco jako

      iptables -t nat -A PREROUTING -i $INTIF -d $EXTIP -p tcp --dport 8008 \
          -j DNAT --to 192.168.1.2:8008
      iptables -t nat -A POSTROUTING -i $INTIF -d 192.168.1.2 -j SNAT --to $INTIP
    
    (INTIF je vnitřní rozhraní, INTIP vnitřní adresa a EXTIP vnější adresa). Kdysi dávno jsem tu na toto téma sepsal celý dokument.
    25.8.2019 19:55 NN
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    V tom pripade bude potreba jeste znovu pokryt DNAT z venku.. Nevim, osobne povazuji reseni pres DNS za cistsi a nemusi to byt nutne pohledy v bindu. Nektere routery tuto funkcionalitu primo nabizi. Obecne souhlasim s nazorem v clanku, ze server v LAN nema co delat. K tomu slouzi DMZ, nebo samostatny serverovy segment.
    25.8.2019 21:12 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    V tom pripade bude potreba jeste znovu pokryt DNAT z venku..

    Eh, to byla chyba, v tom prvním pravidle nemělo být "-i $INTIF" (a nebo by bylo potřeba přidat ještě druhé pro $EXTIF).

    25.8.2019 22:50 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Ono se nejedná úplně o router, je to klasický server s Proxmoxem, volnou IP adresu pro ten stroj kam se to má směrovat bych měl, ale nechtěl jsem ji na to vyplácat, protože se jedná o samostatný server, který slouží "jenom" k zálohování, běží tam Restic server v režimu append-only a firewall povoluje pouze jeden port 8008, nic víc, ani ssh.
    25.8.2019 22:40 RadekXxX | skóre: 10
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Já jsem ty pravidla měl nastaveny striktně, ale jelikož jsem řešil tento problém, tak jsem je hodně "uvolňoval", včetně default policy ACCEPT, ale to vše jenom pro testování, abych eliminoval možně chyby v iptables (z mé strany)
    Řešení 1× (Filip Jirsák)
    25.8.2019 23:26 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: iptables forward portu na jinou IP
    Pakety z lokálních procesů nejdou v nat tabulce přes PREROUTING, místo toho jdou přes OUTPUT. Takže pokud chcete, aby vám ten forward fungoval i přímo z toho routeru s veřejnou IP adresou, musíte to DNAT pravidlo zopakovat ještě jednou pro řetězec OUTPUT.

    Zda pro lokální síť přepisovat DNS nebo použít SNAT je otázka – když použijete SNAT, zatěžujete tou komunikací router. Řešení s DNS bývalo dříve jednodušší, teď vám to může zkomplikovat DNSSEC – pokud ho máte na doméně nasazený, budete muset podepisovat i ty záznamy pro lokální síť. Ne že by to bylo neřešitelné, ale je to komplikace a nejspíš to bude znamenat, že se musíte vzdát automatické správy klíčů DNS serverem a řešit to ručně.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.