прошу помощи со скриптом iptables для шлюза

И еще, с последними версиями iptables я, вместо -m state --state, использую -m conntrack --ctstate. Иначе вылазили какие-то недовольные сообщения.

"urfin⇓" написал:

по-моему, FORWARD это внутренность насоса

urfin написал:

И еще, с последними версиями iptables я, вместо -m state --state, использую -m conntrack --ctstate. Иначе вылазили какие-то недовольные сообщения.

Да всё меняетса. Мир не стои на месте.

"urfin⇓" написал:

И еще, с последними версиями iptables я, вместо -m state --state, использую -m conntrack --ctstate. Иначе вылазили какие-то недовольные сообщения.

root@gw5:~# iptables --version
iptables v1.4.8

Тем не менее у меня они были, и в openSUSE

# iptables --version
iptables v1.4.16.3

и в Sabayon'е. У Вас, в Debian'е, возможно, это все впереди :)

Всем спасибо, думаю тему можно закрывать!)))

FORWARD от INPUT не зависит

"Kettler⇓" написал:

FORWARD от INPUT не зависит

В цепочку INPUT попадают пакты _адресованные_ хосту, а в FORWARD -- _адресованные_ кому-либо другому, они цепочку INPUT не проходят.

bormant, ок, просто я не понимаю как в таком случае это все работает, например пинг. Вот мой хост называется GW5, у него есть 2 сети (внутр. и внешняя) Если я выполню команду ping ya.ru подключенным клиентом к внутренней сети, то как эхо-реплай ко мне вернется, ведь он будет предназначен для моего хоста GW5?

Enzo_brn написал:

bormant, ок, просто я не понимаю как в таком случае это все работает, например пинг. Вот мой хост называется GW5, у него есть 2 сети (внутр. и внешняя) Если я выполню команду ping ya.ru подключенным клиентом к внутренней сети, то как эхо-реплай ко мне вернется, ведь он будет предназначен для моего хоста GW5?

Вкратце так. Ну если я сам верно понимаю.
Например есть ваш шлюз gw5. В нём всё настроено и он раздаёт тырнет в локалку с помощью NAT. Представим какомуто хосту из локалки нужно пингануть хост в интернете ukr.net. Что он делает? Он сначала выесняет что такого компа в пределах локалки нету. *DONT_KNOW* . Что же дальше делать, всё засада, такого компа нету. *SCRATCH* . Но тут, ЭВРИКА *YAHOO* , он додумываетса просмотреть свою таблицу маршрутизацыи и виесняет что у гланым шлюзом в сети есть GW5, значит нужно его спросить что это за комп и какой его айпи. Тоисть происходит DNS запрос и название преобразуетса в айпи. Ура комп выяснил какой айпи в нужного компа *DANCE* . Потом он пробует приконектитса к нужному компу по айпишке что он только что получил. И опять он спрашывает шлюза по умолчанию, что тыры-пыры мне мол нужен вот такой комп с таким айпи. Шлюз принимая соединение от вашего компа, смотрит в заголовок пакета и выясняет айпы адрес хоста назначения. Пошарив по своим таблицам аршрутизацыи шлюз находит путь к этому хосту. А теперь давайте уважаеые читатели разберёмся как этот первый пакет соединения проходит шлюз gw5 чтобы уйти к хосту назначения ukr.net. По ману iptables это есть транзитный пакет и он движетса так:
mangle PREROUTING > nat PREROUTING > mangle FORWARD > Filter FORWARD > mangle POSTROUTING > nat POSTROUTING. Тоисть в цепочку INPUT&OUTPUT таблицы Filter он не попадает. Ну так как у нас NAT то в nat POSTROUTING в заголовке пакета айпи адрес компа который прислал этой пакет из локалки подменяетса на реальную (белую) айпишку шлюза и уже этот пакет уходит в интернет к адресату ukr.net. Потом когда приходит ответ на шлюз, он смотрит что этот пакет не для него а для компа с локалки и пакет движетса тем самым путём тока в обратную сторону. Перед этим nat POSTROUTING пакету возращаетса айпишка того компа что инициализировал соединение.
Так вот проходят транзитные пакеты через шлюз.
Тут подробнее написано.
Не знаю прав ли я на 100 процентов, но как то всё так.

"kisil⇓" написал:

но как то всё так

"kisil⇓" написал:

А теперь давайте уважаеые читатели разберёмся как этот первый пакет соединения проходит шлюз gw5 чтобы уйти к хосту назначения ukr.net. По ману iptables это есть транзитный пакет и он движетса так:
mangle PREROUTING > nat PREROUTING > mangle FORWARD > Filter FORWARD > mangle POSTROUTING > nat POSTROUTING. Тоисть в цепочку INPUT&OUTPUT таблицы Filter он не попадает. Ну так как у нас NAT то в nat POSTROUTING в заголовке пакета айпи адрес компа который прислал этой пакет из локалки подменяетса на реальную (белую) айпишку шлюза и уже этот пакет уходит в интернет к адресату ukr.net.

Может и так.
Это то что я понял из мана. Могу и неправильно понять.

"urfin⇓" написал:

вываливается по правилам OUTPUT
попадает сначала на правила INPUT

Отлично. Отлично от задокументированного поведения iptables.
Обратите внимание на http://www.opennet.ru/docs/RUS/iptables/#TRAVERSINGOFTABLES , ссылку вам выше уже давали.

На машину пакет приходит не сразу в INPUT, и уходит не напрямую через OUTPUT.

На машину из локальной сети пакет приходит адресованным другой машине => FORWARD, в INPUT не попадает, в OUTPUT не попадает (не этой машиной порождён), в POSTROUTING mangle/nat адрес источника меняется на адрес машины.

Решение о том, адресован ли входящий пакет машине принимается после прохождения PREPROUTING mangle/nat, на момент принятия решения после правила DNAT пакет адресован уже другой машине в локальной сети => FORWARD, и в INPUT не попадает.

"urfin⇓" написал:

А теперь дропните все INPUT и OUTPUT. И что получится?

bormant написал:

Транзитный трафик при наличии DNAT/SNAT/маскарадинга будет ходить.

"urfin⇓" написал:

Не ходит. Почему?

bormant написал:

[quote="urfin⇓"]Не ходит. Почему?

urfin,
можно увидеть на Gate:
cat /proc/sys/net/ipv4/ip_forward
iptables-save
route

NAT включен как-то так:
$IPT -t nat -A POSTROUTING -o $WAN_IF \
-j SNAT --to-source $WAN_IP
echo "1" > /proc/sys/net/ipv4/ip_forward
?

Пожалуйста смотрите, вот так все ходит (некоторые DROP правила я убрал, как несущественные для обсуждения)

# cat /proc/sys/net/ipv4/ip_forward
1
#

Только мне помощь не нужна по правилам, УМВР, меня уже просто заинтересовало некоторое расхождение теории с практикой.

"urfin⇓" написал:

Только мне помощь не нужна

#!/bin/bash
#
# ------------------ FLASHING RULES IN ALL DEFAULT TABLES ---------------------
# 1.
$IPT -t mangle -F && $IPT -t filter -F && $IPT -t nat -F && $IPT -F && $IPT -X
# -----------------------------------------------------------------------------
#
# 2.
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
# 3.
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
# 4.
$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
# 5.
$IPT -A INPUT -p icmp -m state --state NEW -j ACCEPT
$IPT -A OUTPUT -p icmp -m state --state NEW -j ACCEPT
$IPT -A FORWARD -p icmp -m state --state NEW -j ACCEPT
# 6.
# Masquerade.
$IPT -t nat -A POSTROUTING -o $EXT_IF -j MASQUERADE
# Enable routing.
echo 1 > /proc/sys/net/ipv4/ip_forward