Настройка Iptables (разрешить доступ другим сетям, открыть порт)

На форуме есть тема iptables В данный момент читаю ее, но пока пример свой не нашел там, возможно просто еще не дочитал до конца ;)

Требуется сделать две задачи:

1) надо разрешить в правилах netfilter(iptables) доступ в LAN (192.168.0.0) из других сетей (192.168.202.0 и 192.168.201.0). в офис подключаются по vpn через WAN.
То есть мне надо прописать правило, котоое позволяет заходить к нам в сеть по vpn (этим 2 сетям). Насколько я понимаю надо применить действие DNAT. да?

2) надо разрешить (открыть порт 11758) из локалки LAN приложению UTM5, а то не получается подключиться из локалки. Но зато если я например захожу в другую сеть либо по ssh, либо по RDP и оттуда пытаюсь коннектиться на этот 11758 порт, то все окей, соедениение проходит.

теперь что имеется в локалке. имеется шлюз сквид, имеется 2 интерфейса (lan is eth0, wan is eth1). На этом шлюзе настроен NAT+iptables. Вот и думаю, толи в конфиге сквида запрещено порту 11758 выходить из локалки, толи блочит брендмауэр. а вот с первым варинатом, просто думаю нет правила такого.

Что-то кажется будет типа этого (подскажите, если неверно, но кажется будет как-то так)

2) разрешить доступ из LAN на порт 11758 (адрес UTM5 например 10.20.30.40), а то с локалки не могу зайти по порту 11758 на адрес 10.20.30.40. даже пинг не проходит на 10.20.30.40. Но зато с другой сети пинги идут. думаю затык в правиле iptables (ну либо в проксе, хотя порт открыт в настройках сквида)

iptables -A INPUT -i eth0 -p tcp -s 10.20.30.40 -d 0/0 --dport 11758 -j ACCEPT

пояснения:
INPUT -i eth0 - входящие пакеты на хост (т.е на мою проксю на интерфейс eth0);
-p tcp -s -d - указываю общий критерий -p протокол, а также указываю что источник это адрес UTM5 10.20.30.40 и поучатель вся сеть (т.е. любой комп из сети мог бы этот пакет получить)
- ну и в конце указываю по какому порту и что делать с пакетом, разрешить.

зы. еще вопрос порт открывают обычно с какого интерфеса, тот что в lan смотрит, или в wan?

Linux777 написал:

Что-то кажется будет типа этого (подскажите, если неверно, но кажется будет как-то так)

2) разрешить доступ из LAN на порт 11758 (адрес UTM5 например 10.20.30.40), а то с локалки не могу зайти по порту 11758 на адрес 10.20.30.40. даже пинг не проходит на 10.20.30.40. Но зато с другой сети пинги идут. думаю затык в правиле iptables (ну либо в проксе, хотя порт открыт в настройках сквида)

iptables -A INPUT -i eth0 -p tcp -s 10.20.30.40 -d 0/0 --dport 11758 -j ACCEPT

пояснения:
INPUT -i eth0 - входящие пакеты на хост (т.е на мою проксю на интерфейс eth0);
-p tcp -s -d - указываю общий критерий -p протокол, а также указываю что источник это адрес UTM5 10.20.30.40 и поучатель вся сеть (т.е. любой комп из сети мог бы этот пакет получить)
- ну и в конце указываю по какому порту и что делать с пакетом, разрешить.

зы. еще вопрос порт открывают обычно с какого интерфеса, тот что в lan смотрит, или в wan?

iptables tutorial - читать до просветления.

Давай по порядку. Какой для начала vpn? Какая подсеть у впн клиентов? Какие маршруты прописываються у клиентов VPN?
Про DNAT забудь и не думай даже. Сам по началу пользовался пока не допёр по другому.

Alexey_1 написал:

[quote=Linux777]Что-то кажется будет типа этого (подскажите, если неверно, но кажется будет как-то так)

2) разрешить доступ из LAN на порт 11758 (адрес UTM5 например 10.20.30.40), а то с локалки не могу зайти по порту 11758 на адрес 10.20.30.40. даже пинг не проходит на 10.20.30.40. Но зато с другой сети пинги идут. думаю затык в правиле iptables (ну либо в проксе, хотя порт открыт в настройках сквида)

iptables -A INPUT -i eth0 -p tcp -s 10.20.30.40 -d 0/0 --dport 11758 -j ACCEPT

пояснения:
INPUT -i eth0 - входящие пакеты на хост (т.е на мою проксю на интерфейс eth0);
-p tcp -s -d - указываю общий критерий -p протокол, а также указываю что источник это адрес UTM5 10.20.30.40 и поучатель вся сеть (т.е. любой комп из сети мог бы этот пакет получить)
- ну и в конце указываю по какому порту и что делать с пакетом, разрешить.

зы. еще вопрос порт открывают обычно с какого интерфеса, тот что в lan смотрит, или в wan?

iptables tutorial - читать до просветления.[/quote]
Когда нечего сказать лучше промолчать.

"Kettler⇓" написал:

Давай по порядку. Какой для начала vpn? Какая подсеть у впн клиентов? Какие маршруты прописываються у клиентов VPN?
Про DNAT забудь и не думай даже. Сам по началу пользовался пока не допёр по другому.

сейчас подготовлю данные, отпишусь. Значит DNAT забудь. ну ладно. хотя понимание есть, зачем это нужно. Вот например имется сервера (апач и фтп и например в dmz у нас в локалке, но к ним есть доступ из вне (public), доступ дан по iptables через DNAT. а также этим же способом можно распределять нагрузку на сервера, чтобы в случае пиковых запросов равономерно распределять нагрузку между серверами)

будет правило такое

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destanation 10.100.10.1 10.100.10.3        # пример на вебсервера 

"Kettler⇓" написал:

Когда нечего сказать лучше промолчать.

тоже придерживаюсь такого мнения, если не знаешь, промолчи. а то однотипные ответы "гугл, ман, вики и всякие советы для просветления.."

зы кстати, есть такое правило форума

3.2.11. Запрещается публикация неинформативных сообщений (флуд): заявлений без обоснований, личная переписка без дополнительной информации, односложных ответов: «гугл», «поиск», «ртфм».

DNAT это ещё раз говорю другое! Жду подробнее.