Re: Redirigir ports amb IPTABLES
On Sat, Mar 20, 2010 at 7:29 PM, Utopic wrote: > > Jo tampoc entenc les iptables. La pregunta es la mateixa: com redirigir > ports > amb iptables? no me n'en surto. > > Tinc una màquina amb dues tarjes de xarxa, una connectada al cablemodem que > dona acces a internet, i l'altre connectada al switch intern. El NAT > funciona > sense problemes, però sóc incapaç de redirigir els ports, l'script és: > > > #!/bin/sh > > echo 1 > /proc/sys/net/ipv4/ip_forward > > EXTIF=eth1 > INTIF=eth0 > IPTABLES=/sbin/iptables > > $IPTABLES -P INPUT ACCEPT > $IPTABLES -F INPUT > $IPTABLES -P OUTPUT ACCEPT > $IPTABLES -F OUTPUT > $IPTABLES -P FORWARD DROP > $IPTABLES -F FORWARD > $IPTABLES -t nat -F > $IPTABLES -X > $IPTABLES -Z > > $IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state > RELATED,ESTABLISHED > -j ACCEPT > aquesta linea potser es massa restrictiva, prova afegint l'estat NEW > > -- Marc
Re: Redirigir ports amb IPTABLES
Jo tinc algo aixi EXIF=eth0 # flush iptables -F || fail=1 iptables -X || fail=1 iptables -Z || fail=1 iptables -t nat -F || fail=1 ## default policy iptables -P INPUT ACCEPT || fail=1 iptables -P OUTPUT ACCEPT || fail=1 iptables -P FORWARD ACCEPT || fail=1 iptables -t nat -P PREROUTING ACCEPT || fail=1 iptables -t nat -P POSTROUTING ACCEPT || fail=1 # NAT iptables -t nat -A POSTROUTING -o $EXIF -j MASQUERADE || fail=1 # forward echo 1 > /proc/sys/net/ipv4/ip_forward || fail=1 # Redirections iptables -t nat -A PREROUTING -i $EXIF -p tcp --dport 1004 -j DNAT --to 10.0.0.70:5900 || fail=1 On Sat, Mar 20, 2010 at 7:29 PM, Utopic wrote: > > Jo tampoc entenc les iptables. La pregunta es la mateixa: com redirigir > ports > amb iptables? no me n'en surto. > > Tinc una màquina amb dues tarjes de xarxa, una connectada al cablemodem que > dona acces a internet, i l'altre connectada al switch intern. El NAT > funciona > sense problemes, però sóc incapaç de redirigir els ports, l'script és: > > > #!/bin/sh > > echo 1 > /proc/sys/net/ipv4/ip_forward > > EXTIF=eth1 > INTIF=eth0 > IPTABLES=/sbin/iptables > > $IPTABLES -P INPUT ACCEPT > $IPTABLES -F INPUT > $IPTABLES -P OUTPUT ACCEPT > $IPTABLES -F OUTPUT > $IPTABLES -P FORWARD DROP > $IPTABLES -F FORWARD > $IPTABLES -t nat -F > $IPTABLES -X > $IPTABLES -Z > > $IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state > RELATED,ESTABLISHED > -j ACCEPT > $IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT > > $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE > > exit 0 > > > Després de buscar per internet i llegir varis tutorials, les regles per > redirig un port haurien de ser algo com: > > $IPTABLES -A PREROUTING -t nat -i $EXTIF -p tcp --dport 8080 -j DNAT --to > 192.168.1.10:80 > $IPTABLES -A FORWARD -p tcp -m state --state NEW --dport 80 -i $EXTIF -j > ACCEPT > > Pero no em funcionen... n'he provat d'altres sense sort. Com haurien de > ser? > > Gràcies, > > > -- > Utopic > "You have been in Afghanistan, I perceive." >-- Sir Arthur Conan Doyle, "A Study in Scarlet" > > > -- > To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org > with a subject of "unsubscribe". Trouble? Contact > listmas...@lists.debian.org > Archive: http://lists.debian.org/201003201929.17178.uto...@ono.com > > -- Marc
Re: Redirigir ports amb IPTABLES
Jo tampoc entenc les iptables. La pregunta es la mateixa: com redirigir ports amb iptables? no me n'en surto. Tinc una màquina amb dues tarjes de xarxa, una connectada al cablemodem que dona acces a internet, i l'altre connectada al switch intern. El NAT funciona sense problemes, però sóc incapaç de redirigir els ports, l'script és: #!/bin/sh echo 1 > /proc/sys/net/ipv4/ip_forward EXTIF=eth1 INTIF=eth0 IPTABLES=/sbin/iptables $IPTABLES -P INPUT ACCEPT $IPTABLES -F INPUT $IPTABLES -P OUTPUT ACCEPT $IPTABLES -F OUTPUT $IPTABLES -P FORWARD DROP $IPTABLES -F FORWARD $IPTABLES -t nat -F $IPTABLES -X $IPTABLES -Z $IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE exit 0 Després de buscar per internet i llegir varis tutorials, les regles per redirig un port haurien de ser algo com: $IPTABLES -A PREROUTING -t nat -i $EXTIF -p tcp --dport 8080 -j DNAT --to 192.168.1.10:80 $IPTABLES -A FORWARD -p tcp -m state --state NEW --dport 80 -i $EXTIF -j ACCEPT Pero no em funcionen... n'he provat d'altres sense sort. Com haurien de ser? Gràcies, -- Utopic "You have been in Afghanistan, I perceive." -- Sir Arthur Conan Doyle, "A Study in Scarlet" -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003201929.17178.uto...@ono.com
Re: Redirigir ports amb IPTABLES
Ja que estem en el tema... Per muntar firewalls als servidors faig servir 'shorewall' [1]. Coses com NAT, redirecció de ports i balanceig venen força precuinades i no he de patir tant per si em deixo un guionet en invocar 'iptables'. Els fitxers de configuració són molt més llegibles que el clàssic xurro de rules que escup 'iptables'. El principal desavantatge que li trobo és que la configuració acaba escampada en uns quants fitxers. Com que per la majoria de servidors acaba sent "overkill" estic provant 'ferm' [2] que resulta molt més minimalista. Segurament acabaré fent servir 'ferm' per al firewall local de cada màquina i 'shorewall' quan hagi de fer funcions de routing. [1]: http://www.shorewall.net/ [2]: http://ferm.foo-projects.org/ -- ## ### Jordi Funollet ### http://www.terraquis.net -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003171248.06806.jord...@ati.es
Re: Redirigir ports amb IPTABLES
Bones, ja ho he solventat (de moment)! No hi ha res com un descans i posar-s'hi amb aires renovats. Moltes gràcies a tots per les pistes. El problema finalment era el pas del router<-->tallafocs, el router adsl té també una IP local (192.168.x.y) i les peticions venen amb aquesta, així quan el servidor intern al que intentava redirigir rebia la connexió contestava a la IP del router enlloc de fer-ho a la IP del tallafocs/NAT, i per tant aquest no podia redirigir les connexions cap el router i com el router no en sabia res de la connexió del servidor intern la descartava (suposo). És molt probable, tal com deia el Jordi, que separant realment les dues xarxes (router<->tallafocs, i tallafocs<->switch) això no passi, quan vaig crear les dues xarxes per provar-ho devia posar altres regles iptables malament. No estic massa convençut que sigui segur, però el que he fet es afegir una regla per fer SNAT de fora cap a _dins_, i ara el servidor intern contesta la petició al tallafocs que finalment la reenvia al router adsl. He canviat el MASQUERADE per SNAT, però bàsicament fan la mateixa feina, les redireccions NAT queden: $IPTABLES -t nat -A POSTROUTING -o $EXTIF -j SNAT --to-source 192.168.1.10 $IPTABLES -t nat -A POSTROUTING -o $INTIF -j SNAT --to-source 192.168.1.2 I per redirigir el port extern 8480 cap el 8280 d'una màquina intern faig: $IPTABLES -t nat -A PREROUTING -p tcp -i $EXTIF --dport 8480 -j DNAT --to 192.168.1.11:8280 $IPTABLES -A FORWARD -p tcp -i $EXTIF -d 192.168.1.11 --dport 8280 -o $INTIF -j ACCEPT Ara almenys puc canviar el router adsl sense interrompre (massa) el servei, un cop tingui les dues xarxes separades provaré de treure el SNAT de fora a dins, la segona de les regles. Encara que si el tallafocs no redirigeix algun port cap a una màquina interna cap d'elles no rep les peticions de connexió externa, no estic conveçut que sigui massa segur fer SNAT en els dos sentits. Si algú amb més coneixements sobre iptables hi te res a dir, jo encantat de llegir-lo. Salut, -- Marc Olivé Grup Blau www.grupblau.com -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003160928.00928.marc.ol...@grupblau.com
Re: Redirigir ports amb IPTABLES
El Mon, 15 Mar 2010 17:38:15 +0100 Marc Olive va dir: > El Monday 15 March 2010 17:23:54 Marc Olive va escriure: > > tallafocs:~# ifconfig > > eth0 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:e7 > > inet addr:192.168.2.2 Bcast:192.168.2.255 Mask:255.255.255.0 > > > > eth1 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:23 > > inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0 > > Perdó, la IP de la eth0 es 192.168.2.10, no 2.2, o no coincidiria amb la > redirecció del router. > > -- > > Marc Olivé > Grup Blau > > www.grupblau.com Hola Marc, Jo d'iptables entenc molt poc, i d'enrutaments també, però hi ha una cosa en el teu script que em crida l'atenció (estèticament), i és el fet de que primer estableixes la política d'un dels recipients i després fas la neteja de tot aquest recipient (o com es digui), potser s'esborra yambé la política per defecte: echo " Clearing any existing rules and setting default policy.." $IPTABLES -P INPUT ACCEPT $IPTABLES -F INPUT $IPTABLES -P OUTPUT ACCEPT $IPTABLES -F OUTPUT $IPTABLES -P FORWARD DROP $IPTABLES -F FORWARD Potser s'ha de fer com ho has fet tu (segurament), però com que m'ha cridat l'atenció, doncs no em callo i t'ho faig saber. apa, sort > > > -- > To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org > with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org > Archive: http://lists.debian.org/201003151738.16005.marc.ol...@grupblau.com > -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/20100315201335.de57c9fe.hub...@telefonica.net
Re: Redirigir ports amb IPTABLES
El Monday 15 March 2010 17:23:54 Marc Olive va escriure: > tallafocs:~# ifconfig > eth0 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:e7 > inet addr:192.168.2.2 Bcast:192.168.2.255 Mask:255.255.255.0 > > eth1 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:23 > inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0 Perdó, la IP de la eth0 es 192.168.2.10, no 2.2, o no coincidiria amb la redirecció del router. -- Marc Olivé Grup Blau www.grupblau.com -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151738.16005.marc.ol...@grupblau.com
Re: Redirigir ports amb IPTABLES
El Monday 15 March 2010 16:23:06 Jordi Funollet va escriure: > Em sembla que amb això estàs "enganyant" al firewall. Li dius que té dues > interfícies, endollades a dues xarxes diferents, que després resulta que > són la mateixa. La idea era enganyar-lo, si, per no haver de reconfigurar la xarxa i deixar de donar servei. Les rutes estaven posades cap a les diferents IPs de la mateixa xarxa, segons fossin accessos interns o externs, i iptables treballa amb les ethernets, així que crec que hauria d'haver funcionat normalment (enganyat). > Cada port del firewall ha d'estar a una xarxa IP diferent. Això sols > implica reconfigurar un port del router i un del firewal, no hauria > d'afectar la resta de la xarxa. Per exemple, > > eth0 -> 192.168.2.0 > eth1 -> 192.168.1.0 He configurat el router adsl i el tallafocs a la xarxa 2.0, poso la configuració. "project" es la màquina que ha de respondre les peticions externes, la eth0 del tallafocs es la externa i la eth1 la interna. La configuració ha sigut: tallafocs:~# ifconfig eth0 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:e7 inet addr:192.168.2.2 Bcast:192.168.2.255 Mask:255.255.255.0 eth1 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:23 inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0 tallafocs:~# route Kernel IP routing table Destination Gateway Genmask Flags Metric RefUse Iface 192.168.2.0 * 255.255.255.0 U 0 00 eth0 192.168.1.0 * 255.255.255.0 U 0 00 eth1 default 192.168.2.1 0.0.0.0 UG0 00 eth0 tallafocs:~# cat /etc/resolv.conf nameserver 192.168.2.1 tallafocs:~# ping -c1 google.com PING google.com (209.85.227.106) 56(84) bytes of data. 64 bytes from wy-in-f106.1e100.net (209.85.227.106): icmp_seq=1 ttl=52 time=107 ms --- google.com ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 107.509/107.509/107.509/0.000 ms project:~# ifconfig eth0 Link encap:Ethernet HWaddr 00:xx:xx:xx:xx:36 inet addr:192.168.1.11 Bcast:192.168.1.255 Mask:255.255.255.0 project:~# route Kernel IP routing table Destination Gateway Genmask Flags Metric RefUse Iface 192.168.1.0 * 255.255.255.0 U 0 00 eth0 default 192.168.1.2 0.0.0.0 UG0 00 eth0 project:~# cat /etc/resolv.conf nameserver 192.168.2.1 project:~# ping -c1 google.com PING google.com (209.85.227.105) 56(84) bytes of data. 64 bytes from wy-in-f105.1e100.net (209.85.227.105): icmp_seq=1 ttl=51 time=94.9 ms --- google.com ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 94.951/94.951/94.951/0.000 ms Adjunto també un parell de captures de la inteficie web del router adsl. > No sé si el problema vé d'aquí, però per enrutar d'una xarxa a una altra > cal que hi hagin dues xarxes, i tu sols en tens una. :-) El resultat segueix sent el mateix: fa la connexió i es queda esperant sense rebre les dades. Crec que el problema ha d'estar a la regla forward, que no la redirecciona cap a l'exterior. Vaig a mirar de monitoritzar més les connexions que es realitzen. > ## > ### Jordi Funollet > ### http://www.terraquis.net Gràcies per l'esforç, -- Marc Olivé Grup Blau www.grupblau.com <><>
Re: Redirigir ports amb IPTABLES
On Monday 15 March 2010 15:38:06 Marc Olive wrote: > > Tot a la 192.168.1.0??? Això és un error al picar el mail o realment ho > > tens així? > > Ho tinc així de forma provisional, un cop funcioni correctament podré > crear vàries sub-xarxes, que és la idea. Em sembla que amb això estàs "enganyant" al firewall. Li dius que té dues interfícies, endollades a dues xarxes diferents, que després resulta que són la mateixa. Si li dones informacions incoherents difícilment farà la feina. > De fet el router adsl té un port > cap el switch general per donar servei i un altre cap el tallafocs, > lògicament el cable cap el switch el treuré així que pugui. Cada port del firewall ha d'estar a una xarxa IP diferent. Això sols implica reconfigurar un port del router i un del firewal, no hauria d'afectar la resta de la xarxa. Per exemple, eth0 -> 192.168.2.0 eth1 -> 192.168.1.0 No sé si el problema vé d'aquí, però per enrutar d'una xarxa a una altra cal que hi hagin dues xarxes, i tu sols en tens una. :-) > El problema és que tenim varis serveis externs funcionant que han de > seguir fent-ho, Me'n faig el càrrec. -- ## ### Jordi Funollet ### http://www.terraquis.net -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151623.06532.jord...@ati.es
Re: Redirigir ports amb IPTABLES
El Monday 15 March 2010 15:00:37 Lluís Gras va escriure: > /sbin/iptables -t nat -A PREROUTING -p tcp --dport 12345 -j DNAT > --to-destination 192.168.1.111:54321 Mateix resultat: estableix la connexió però no rep la resposta i queda log al dmesg. Si no hi poso cap regla de prerouting per redirigir, la connexió es denega al moment i no es queda esperant. Gràcies per l'intent. -- Marc Olivé Grup Blau www.grupblau.com -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151550.46149.marc.ol...@grupblau.com
Re: Redirigir ports amb IPTABLES
El Monday 15 March 2010 14:58:16 Jordi Funollet va escriure: > On Monday 15 March 2010 14:09:56 Marc Olive wrote: > > El tallafocs té dues tarjes de xarxa, una endollada al switch amb la IP > > (interna) 192.168.1.2 i una altra endollada al router adsl amb la IP > > 192.168.1.10. > > Tot a la 192.168.1.0??? Això és un error al picar el mail o realment ho > tens així? Ho tinc així de forma provisional, un cop funcioni correctament podré crear vàries sub-xarxes, que és la idea. De fet el router adsl té un port cap el switch general per donar servei i un altre cap el tallafocs, lògicament el cable cap el switch el treuré així que pugui. El problema és que tenim varis serveis externs funcionant que han de seguir fent-ho, a part de la pròpia connexió a internet, i el router adsl que tenim només agafa IPs /24. Crear sub-xarxes i l'escassetat de ports que puc redirigir indiviudalment amb el router són dos bones causes per crear la màquina pont. > -- > ## > ### Jordi Funollet > ### http://www.terraquis.net -- Marc Olivé Grup Blau www.grupblau.com -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151538.06871.marc.ol...@grupblau.com
Re: Redirigir ports amb IPTABLES
Bé, jo empro el arno-iptables-firewall i per redirigir un port a un màquina local empro quelcom semblant al següent des de el /etc/rc.local /sbin/iptables -t nat -A PREROUTING -p tcp --dport 12345 -j DNAT --to-destination 192.168.1.111:54321 són dades d'exemple i ho utilitzo per connectar a un servei NX. 2010/3/15 Marc Olive > > Una mica de informació. Les connexions que no redirigeix correctamen em > surten > al dmesg: > > kernel: IN=eth0 OUT=eth1 SRC=192.168.1.1 DST=192.168.1.11 LEN=60 TOS=0x00 > PREC=0x00 TTL=61 ID=51437 DF PROTO=TCP SPT=35866 DPT=8280 WINDOW=5840 > RES=0x00 SYN URGP=0 > > Per la regla -A FORWARD -j LOG > > Gràcies, > > -- > > Marc Olivé > Grup Blau > > www.grupblau.com > > > -- > To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org > with a subject of "unsubscribe". Trouble? Contact > listmas...@lists.debian.org > Archive: > http://lists.debian.org/201003151424.11958.marc.ol...@grupblau.com > >
Re: Redirigir ports amb IPTABLES
On Monday 15 March 2010 14:09:56 Marc Olive wrote: > El tallafocs té dues tarjes de xarxa, una endollada al switch amb la IP > (interna) 192.168.1.2 i una altra endollada al router adsl amb la IP > 192.168.1.10. > Tot a la 192.168.1.0??? Això és un error al picar el mail o realment ho tens així? -- ## ### Jordi Funollet ### http://www.terraquis.net -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151458.16985.jord...@ati.es
Re: Redirigir ports amb IPTABLES
Una mica de informació. Les connexions que no redirigeix correctamen em surten al dmesg: kernel: IN=eth0 OUT=eth1 SRC=192.168.1.1 DST=192.168.1.11 LEN=60 TOS=0x00 PREC=0x00 TTL=61 ID=51437 DF PROTO=TCP SPT=35866 DPT=8280 WINDOW=5840 RES=0x00 SYN URGP=0 Per la regla -A FORWARD -j LOG Gràcies, -- Marc Olivé Grup Blau www.grupblau.com -- To UNSUBSCRIBE, email to debian-user-catalan-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/201003151424.11958.marc.ol...@grupblau.com
