LinuxForum.Fans
Тема

Перенаправление портов с помощью iptables

Автор: sotariz 5 сообщений 1314 просмотров
25.06.2013 09:58 #326045

Снова прошу помощи по iptables... нужно прокинуть 80 порт через несколько хостов. Структура сети:
(vpn_serv)--->(router)--->(local_serv)--->(host)
router соединен с vpn_serv тунелем, с остальными напрямую
router имеет адреса tun0-00 10.0.0.10 и eth1 192.168.0.1
local serv eth0 192.168.0.2 и eth1 192.168.1.1
проброс от router до host работает, по телнету отвечает... но находясь за другим роутером (пусть будет router1, 10.0.0.20) который подключен тунелем к тому же vpn_server стучусь на 10.0.0.10 а в ответ тишина
доступность порта нужна в vpn сети, на внешку он не должен отвечать

25.06.2013 11:12 #326069
sotariz написал:
Снова прошу помощи по iptables... нужно прокинуть 80 порт через несколько хостов. Структура сети:
(vpn_serv)--->(router)--->(local_serv)--->(host)
router соединен с vpn_serv тунелем, с остальными напрямую
router имеет адреса tun0-00 10.0.0.10 и eth1 192.168.0.1
local serv eth0 192.168.0.2 и eth1 192.168.1.1
проброс от router до host работает, по телнету отвечает... но находясь за другим роутером (пусть будет router1, 10.0.0.20) который подключен тунелем к тому же vpn_server стучусь на 10.0.0.10 а в ответ тишина
доступность порта нужна в vpn сети, на внешку он не должен отвечать

Для (host) default gateway кто?
Тип vpn какой?
И смотрите на всех заинтересованных рутерах таблицы маршрутизации.
И пользуйтесь traceroute и tcpdump для выявления куда пакеты ходят?

25.06.2013 11:56 #326074
"Alexey_1⇓" написал:
Для (host) default gateway кто?

local_serv 192.168.1.1

"Alexey_1⇓" написал:
Тип vpn какой?

OpenVPN с сертификатом

"Alexey_1⇓" написал:
И смотрите на всех заинтересованных рутерах таблицы маршрутизации.

для local_serv

text
1        0     0 DNAT       tcp  --  *      *       192.168.0.1          0.0.0.0/0           tcp dpt:37777 to:192.168.1.150:37777 
2        0     0 DNAT       udp  --  *      *       192.168.0.1          0.0.0.0/0           udp dpt:37778 to:192.168.1.150:37778 
3        0     0 DNAT       tcp  --  *      *       192.168.0.1          0.0.0.0/0           tcp dpt:554 to:192.168.1.150:554 
4        3   132 DNAT       tcp  --  *      *       192.168.0.1          0.0.0.0/0           tcp dpt:80 to:192.168.1.150:80

для router

text
1        2   104 DNAT       tcp  --  *      *       10.0.0.0/24      0.0.0.0/0           tcp dpt:37777 to:192.168.0.2:37777 
2        2   104 DNAT       udp  --  *      *       10.0.0.0/24      0.0.0.0/0           udp dpt:37778 to:192.168.0.2:37778 
3        4   208 DNAT       tcp  --  *      *       10.0.0.0/24      0.0.0.0/0           tcp dpt:554 to:192.168.0.2:554 
4       11   612 DNAT       tcp  --  *      *       10.0.0.0/24      0.0.0.0/0           tcp dpt:80 to:192.168.0.2:80
25.06.2013 11:59 #326075
text
nmap -p 37777,554,80 10.0.0.10

Starting Nmap 5.21 ( http://nmap.org ) at 2013-06-25 11:01 EEST
Nmap scan report for 10.0.0.10
Host is up (0.36s latency).
PORT      STATE  SERVICE
80/tcp    closed http
554/tcp   closed rtsp
37777/tcp closed unknown


Nmap done: 1 IP address (1 host up) scanned in 0.76 seconds
25.06.2013 13:12 #326080

все iptables правила на router

text
# Generated by iptables-save v1.4.8 on Tue Jun 25 11:19:30 2013
*nat
:PREROUTING ACCEPT [20214:2766978]
:POSTROUTING ACCEPT [5:300]
:OUTPUT ACCEPT [4:292]
-A PREROUTING -s 10.0.0.0/24 -p tcp -m tcp --dport 37777 -j DNAT --to-destination 192.168.0.1:37777 
-A PREROUTING -s 10.0.0.0/24 -p udp -m udp --dport 37778 -j DNAT --to-destination 192.168.0.1:37778 
-A PREROUTING -s 10.0.0.0/24 -p tcp -m tcp --dport 554 -j DNAT --to-destination 192.168.0.1:554 
-A PREROUTING -s 10.0.0.0/24 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:80 
-A POSTROUTING -s 10.0.0.0/24 -o tun0 -j MASQUERADE 
-A POSTROUTING -s 192.168.0.0/24 -o tun0 -j MASQUERADE 
COMMIT
# Completed on Tue Jun 25 11:19:30 2013
# Generated by iptables-save v1.4.8 on Tue Jun 25 11:19:30 2013
*filter
:INPUT DROP [788390:309807165]
:FORWARD ACCEPT [95529100:70133653811]
:OUTPUT ACCEPT [36688563:6816409131]
-A INPUT -s xxx.xxx.xxx.xxx/32 -j ACCEPT 
-A INPUT -s xxx.xxx.xxx.xxx/32 -j ACCEPT 
-A INPUT -s xxx.xxx.xxx.xxx/8 -p tcp -j DROP 
-A INPUT -s xxx.xxx.xxx.xxx/8 -p udp -j DROP 
-A INPUT -s 10.0.0.0/24 -m state --state NEW -j ACCEPT 
-A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT 
-A INPUT -p icmp -m icmp --icmp-type 13 -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags FIN,RST FIN,RST -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags FIN,ACK FIN -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags PSH,ACK PSH -j DROP 
-A INPUT -p tcp -m tcp --tcp-flags ACK,URG URG -j DROP 
-A INPUT -p tcp -m tcp --dport 113 -j DROP 
-A INPUT -p tcp -m tcp --dport 137 -j DROP 
-A INPUT -p tcp -m tcp --dport 138 -j DROP 
-A INPUT -s xxx.0.0.0/4 -j DROP 
-A INPUT -d xxx.0.0.0/4 -j DROP 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth1 -p icmp -m icmp --icmp-type 8 -j ACCEPT 
-A INPUT -i tun0 -p icmp -m icmp --icmp-type 8 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 21 -m state --state NEW -j ACCEPT 
-A INPUT -i tun0 -p tcp -m tcp --dport 21 -j DROP 
-A INPUT -p tcp -m tcp --dport 50000:50500 -m state --state NEW -j ACCEPT 
-A INPUT -p udp -m udp --dport 50000:50500 -m state --state NEW -j ACCEPT 
-A OUTPUT -p icmp -m icmp --icmp-type 14 -j DROP 
COMMIT
# Completed on Tue Jun 25 11:19:30 2013
Войдите или зарегистрируйтесь, чтобы ответить.