Помогите разобраться с iptables на ubuntu server

Здравствуйте, помогите пожалуйста, в Ubuntu а так же iptables не сильно силен..только начинаю разбираться, суть вот в чем: Есть 2 шлюза, один основной ip - 10.68.0.1 второй - вторичный ip - 10.68.0.16 Оба на статике на 10.68.0.16 установлен openfire, на первом iptables настроен на переброс пакетов на 16й все норм пашет при включении интернета и настройках iptables на 10.68.0.16 миранда(внутренняя связь) работает только у локальной сети внешние подключения ее не видят, т.е. как я понимаю пакеты идут на сервер а обратно не возвращаются, помогите пожалуйста

Вот настройки iptables на 10.68.0.16:

# Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*filter
:INPUT ACCEPT [243:20223]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31:2325]
-A INPUT -s 10.68.0.0/24 -i p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.68.0.0/24 -i p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
-A FORWARD -d 10.68.0.0/24 -i ppp0 -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -d 10.68.0.0/24 -o p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
COMMIT # Completed on Tue Mar 18 13:05:35 2014 # Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*nat
:PREROUTING ACCEPT [1317:104420]
:INPUT ACCEPT [1050:64925]
:OUTPUT ACCEPT [111:7199]
:POSTROUTING ACCEPT [111:7199]
#MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE
-A POSTROUTING -o p4p1 -j MASQUERADE
#JABBER MIRANDA
-A INPUT -p tcp -m tcp --dport 5225 -j ACCEPT
COMMIT
# Completed on Tue Mar 18 13:05:35 2014
# Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*mangle
:PREROUTING ACCEPT [35865:39972227]
:INPUT ACCEPT [34943:39808732]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [25874:39238562]
:POSTROUTING ACCEPT [25874:39238562]
COMMIT

ppp0 это соединение интернет второго шлюза, а p4p1 это внутренняя сетка. Понимаю что сейчас настроена чушь..но пока надо срочно поднять второй канал интернета что бы подключаясь клиенты могли работать в миранде...и еще если есть возможность по пути подскажите как трафик с 25го порта перенаправлять на 10.68.0.1 что бы при подключении к 10.68.0.16 почта не терялась(но это вторичный вопрос) основной что делать с мирандой, порт там прописан 5225 Заранее благодарен кто откликнется, если можно с пояснениями, пользователи подключаются через 10.68.0.1 ...просто начальство крепит...а времени все освоить и сразу нет(

Закинул вопрос в соответствующую ветку если что не так извините

А что тут думать, смотреть надо. tcpdump-ом и iptstate.

Что именно глянуть? можете подсказать пожалуйста

Максим Гордиенко написал:

Что именно глянуть? можете подсказать пожалуйста

Куда идут пакеты, как отруливает эти пакеты iptables, eсть ли ответ, или только в одну сторону.

Максим Гордиенко написал:

Что именно глянуть? можете подсказать пожалуйста

Куда идут пакеты, как отруливает эти пакеты iptables, eсть ли ответ, или только в одну сторону.
И ещё ifconfig и ip ro ls

В правилах не вижу проброса либо конфиг не с 10.68.0.1.
А если с 10.68.0.1 то у вас нету проброса порта. Поищите на форуме полно тем и примеров.

Будет вроде выглядеть так.

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 5225 -j DNAT --to-destination 10.68.0.16:5225

Ещё вопрос, у 10.68.0.16 тоже есть прямой выход в инет?
Если да то не удаляйте правило. Коряво но работать будет.

-A POSTROUTING -o p4p1 -j MASQUERADE

CyberDaemon написал:

[quote=Максим Гордиенко]Что именно глянуть? можете подсказать пожалуйста

Куда идут пакеты, как отруливает эти пакеты iptables, eсть ли ответ, или только в одну сторону.
И ещё ifconfig и ip ro ls[/quote]
У чела даже правила нету для проброса, что там смотреть.

"Kettler" написал:

В правилах не вижу проброса либо конфиг не с 10.68.0.1.
А если с 10.68.0.1 то у вас нету проброса порта. Поищите на форуме полно тем и примеров.
Будет вроде выглядеть так.
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 5225 -j DNAT --to-destination 10.68.0.16:5225

конфиг с 10.68.0.16
так как без настроек iptables 10.68.0.16 нормально все пашет не подумал что стоит писать тут еще конфиг 10.68.0.1
*nat
-A INPUT -p tcp -m tcp --dport 5225 -j ACCEPT
-A PREROUTING -p tcp -m tcp --dport 5225 -j DNAT --to-destination 10.68.0.16

"Kettler" написал:

Ещё вопрос, у 10.68.0.16 тоже есть прямой выход в инет?

Да на 10.68.0.16 есть прямое pppoe соединение как раз в этом и трабла начинается, когда на 10.68.0.16 появляется интернет то внешние клиенты не могут подключиться к openfire

Если быстро то сделайте нат в локалку на 10.68.0.1 аналогично этому

-A POSTROUTING -o p4p1 -j MASQUERADE

ток подставьте нужный интерфейс. А ещё лучше покажите конфиг с 10.68.0.1

В идеале вот так
Сервер Linux как шлюз
Но если вам срочно то делайте нат как предложил выше

http://linuxland.itam.nsc.ru/book/linux11/index.html
http://www.livelib.ru/book/1000173580

"Kettler" написал:

Если быстро то сделайте нат в локалку на 10.68.0.1 аналогично этому
-A POSTROUTING -o p4p1 -j MASQUERADE
ток подставьте нужный интерфейс. А ещё лучше покажите конфиг с 10.68.0.1

Вам нужен полный конфиг? или же часть которая перенаправляет пакеты с порта 5225 ? если так то я ее уже описал

насчет перенаправления...не будет такого что клиенты внутренней локалки не смогут получать конект к джабберу - они прямо направляются на 16й сервак

"Kettler" написал:

А ещё лучше покажите конфиг с 10.68.0.1

# Generated by iptables-save v1.2.11 on Fri Jun  1 18:09:24 2007
*mangle
:PREROUTING ACCEPT [33784048:15485105392]
:INPUT ACCEPT [19555970:12989354237]
:FORWARD ACCEPT [14226822:2495675016]
:OUTPUT ACCEPT [20014682:14564722181]
:POSTROUTING ACCEPT [34240169:17060296467]
COMMIT
*nat
:PREROUTING ACCEPT [1192762:97692838]
:POSTROUTING ACCEPT [853001:51359472]
:OUTPUT ACCEPT [506405:34579369]
#JABBER Miranda
-A PREROUTING -p tcp -m tcp --dport 5225 -j DNAT --to-destination 10.68.0.16
#MASQUERADE
-A POSTROUTING -o eth1 -p tcp -m tcp -j MASQUERADE
-A POSTROUTING -o eth1 -p udp -m udp -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [17937651:12916037994]
:FORWARD ACCEPT [14226824:2495675110]
:OUTPUT ACCEPT  [20013347:14564621451]
#SSH
-A INPUT -s 10.68.0.0/255.255.0.0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 127.0.0.0/255.0.0.0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j DROP
#PROXY
-A INPUT -s 10.68.0.0/255.255.0.0 -p tcp -m tcp --dport 3128 -j ACCEPT
#JABBER Miranda
-A INPUT -p tcp -m tcp --dport 5225 -j ACCEPT
#--------------------------------------------------------------------------
COMMIT

Вот конфиг сервера 10.68.0.1, где eth1 внешний сетевой интерфейс

"mvt" написал:

Вчера 21:30:52

Пользователь
Неактивен
Сообщений: 4,228
Репутация :   [ 98 | 1 ]
http://linuxland.itam.nsc.ru/book/linux11/index.html
http://www.livelib.ru/book/1000173580

Спасибо, обязательно изучу, просто сейчас срочно нужно сделать вот и к вам решил обратиться, так то начал изучать инфу но из за данной задачи...пришлось срочно в крайности бросаться(

Максим Гордиенко написал:

[quote="Kettler"]А ещё лучше покажите конфиг с 10.68.0.1

# Generated by iptables-save v1.2.11 on Fri Jun  1 18:09:24 2007
*mangle
:PREROUTING ACCEPT [33784048:15485105392]
:INPUT ACCEPT [19555970:12989354237]
:FORWARD ACCEPT [14226822:2495675016]
:OUTPUT ACCEPT [20014682:14564722181]
:POSTROUTING ACCEPT [34240169:17060296467]
COMMIT
*nat
:PREROUTING ACCEPT [1192762:97692838]
:POSTROUTING ACCEPT [853001:51359472]
:OUTPUT ACCEPT [506405:34579369]
#JABBER Miranda
-A PREROUTING -p tcp -m tcp --dport 5225 -j DNAT --to-destination 10.68.0.16
#MASQUERADE
-A POSTROUTING -o eth1 -p tcp -m tcp -j MASQUERADE
-A POSTROUTING -o eth1 -p udp -m udp -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [17937651:12916037994]
:FORWARD ACCEPT [14226824:2495675110]
:OUTPUT ACCEPT  [20013347:14564621451]
#SSH
-A INPUT -s 10.68.0.0/255.255.0.0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 127.0.0.0/255.0.0.0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j DROP
#PROXY
-A INPUT -s 10.68.0.0/255.255.0.0 -p tcp -m tcp --dport 3128 -j ACCEPT
#JABBER Miranda
-A INPUT -p tcp -m tcp --dport 5225 -j ACCEPT
#--------------------------------------------------------------------------
COMMIT

Вот конфиг сервера 10.68.0.1, где eth1 внешний сетевой интерфейс[/quote]
Если быстро то сделайте нат в локалку на 10.68.0.1 аналогично этому

-A POSTROUTING -o p4p1 -j MASQUERADE

ток подставьте нужный интерфейс. А ещё лучше покажите конфиг с 10.68.0.1

"Kettler" написал:

Если быстро то сделайте нат в локалку на 10.68.0.1 аналогично этому

text

-A POSTROUTING -o p4p1 -j MASQUERADE

ток подставьте нужный интерфейс. А ещё лучше покажите конфиг с 10.68.0.1

сделал, ничего не меняется...только почему то интернет не идет...т.е. соединение есть - pppoe но пинга нет...

а интерфейс p4p1 и есть локальный

Как вы сделали? Покажите правила после применения.

"Kettler" написал:

Как вы сделали?

# Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*filter
:INPUT ACCEPT [243:20223]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31:2325]
-A INPUT -s 10.68.0.0/24 -i p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.68.0.0/24 -i p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
-A FORWARD -d 10.68.0.0/24 -i ppp0 -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -d 10.68.0.0/24 -o p4p1 -m state --state NEW,ESTABLISHED -j ACCEPT
COMMIT # Completed on Tue Mar 18 13:05:35 2014 # Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*nat
:PREROUTING ACCEPT [1317:104420]
:INPUT ACCEPT [1050:64925]
:OUTPUT ACCEPT [111:7199]
:POSTROUTING ACCEPT [111:7199]
#MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE
-A POSTROUTING -o p4p1 -j MASQUERADE
#JABBER MIRANDA
-A INPUT -p tcp -m tcp --dport 5225 -j ACCEPT
COMMIT
# Completed on Tue Mar 18 13:05:35 2014
# Generated by iptables-save v1.4.18 on Tue Mar 18 13:05:35 2014
*mangle
:PREROUTING ACCEPT [35865:39972227]
:INPUT ACCEPT [34943:39808732]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [25874:39238562]
:POSTROUTING ACCEPT [25874:39238562]
COMMIT

Это конфиг 10.68.0.16

Писал же, надо на 10.68.0.1

"Kettler" написал:

#MASQUERADE
-A POSTROUTING -o eth1 -p tcp -m tcp -j MASQUERADE
-A POSTROUTING -o eth1 -p udp -m udp -j MASQUERADE

я же скинул конфиг, eth1 это и есть локальная сеть

5225й порт идет по tcp соединению так чт ополагаю этого должно хватать...