Ubuntu 11.04 Не удается открыть порт

16.05.2011 07:26 #162496

Здравствуйте, уважаемые форумчане.

Ситуация:
Интернет - шлюз (ubuntu 11.04) = 1. Lan (192.168.5.0) 2. VLan (192.168.6.0)
Ubuntu раздает во внутреннюю и в виртуальную (стоит VMWare) сеть интернет.
Реализован проброс RDP через шлюз по порту 4000 на машину 192.168.6.35
На шлюзе интерфейс eth1 смотрит в Интернет, eth2 - в Lan.
<ip-Internet> - мой ip от провайдера.
Для этого использовались правила записанные в rc.local:

text

iptables -A INPUT -p tcp --dport 4000 -j ACCEPT
iptables -A PREROUTING -t nat -d <ip-Internet> -i  eth1 -p tcp -m tcp --dport 4000 -j DNAT --to-destination 192.168.6.35:3389
iptables -A FORWARD -i eth1 -o eth2 -s 192.168.5.0/24 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE

Вывод команд:
iptables -L

text

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:4000 
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  192.168.5.0/24       anywhere            ctstate NEW 
ACCEPT     all  --  anywhere             anywhere            ctstate RELATED,ESTABLISHED 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

iptables-save

text

# Generated by iptables-save v1.4.10 on Tue May 10 20:51:55 2011
*nat
:PREROUTING ACCEPT [7906:647018]
:INPUT ACCEPT [741:58709]
:OUTPUT ACCEPT [929:62447]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d <ip-Internet> -i eth1 -p tcp -m tcp --dport 4000 -j DNAT --to-destination 192.168.6.35:3389 
-A POSTROUTING -j MASQUERADE 
COMMIT
# Completed on Tue May 10 20:51:55 2011
# Generated by iptables-save v1.4.10 on Tue May 10 20:51:55 2011
*filter
:INPUT ACCEPT [10104:5300489]
:FORWARD ACCEPT [1201:76747]
:OUTPUT ACCEPT [10026:1820755]
-A INPUT -p tcp -m tcp --dport 4000 -j ACCEPT 
-A FORWARD -s 192.168.5.0/24 -i eth1 -o eth2 -m conntrack --ctstate NEW -j ACCEPT 
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
COMMIT
# Completed on Tue May 10 20:51:55 2011

Проблема: До установки, с ноля, 11.04, данная конструкция отменно функционировала на 10.10, без каких либо сбоев, глюков и прочего. Сейчас же у меня не открывается порт 4000, о чем говорят все возможные Интернет сервисы.

Пожалуйста подскажите, как быть?

16.05.2011 12:45 #162608

ufw

16.05.2011 19:11 · отредактировано #162739

Если не ошибаюсь ufw по приоритету стоит позже и получается, что нужные правила и так стоят где надо, он их только продублирует.

P.S. пробовал и ufw. Пробовал и удалять и снова ставить... увы, эффекта не было.

16.05.2011 19:39 #162745

Почитайте внимательно:
http://linuxforum.ru/viewtopic.php?pid=176106#p176106
И сделайте нормальный шлюз, ufw - удалить.

Но у меня ip динамический, сначала исполняется основной скрипт (по ссылке - почти такой),
Потом: как пример проброс 80-го порта у меня на виртуалку kvm:

text

#!/bin/bash
# Забираем ранее сохраненный ip адрес
REAL_IP=`cat /tmp/ip_old`
VSERV_IP=192.168.1.2
export ipt="/sbin/iptables -v"
# Очистка предидущего проброса портов
$ipt -t nat -D PREROUTING  -i ppp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80
$ipt -t nat -D OUTPUT -p tcp --dst $REAL_IP --dport 80 -j DNAT --to-destination 192.168.1.2:80
# Получаем текущий ip и сохраняем его в /tmp/ip_old
ip addr show ppp0 | grep "inet" | grep "peer" | awk '{print $2}' > /tmp/ip_old
REAL_IP=`cat /tmp/ip_old`
# Собственно сам проброс:
$ipt -t nat -A PREROUTING  -i ppp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80
$ipt -t nat -A OUTPUT -p tcp --dst $REAL_IP --dport 80 -j DNAT --to-destination 192.168.1.2:80