Автор это пробуй
http://linuxforum.ru/viewtopic.php?pid=212560#p212560
и не фиг тут разводить флуд.
newzenon во многом не прав но промолчу.
Hrafn чуть не прав. iptables-save один для всех, а типо iptables resore может быть по разному.
Автор давай без всяких там fat для того чтоб не было мелких ошибок.
LinuxForum.Fans
Iptables + port forwarding
Автор: GLADIATOR13
51 сообщений
14852 просмотров
Флуд, Флуд... Я задал конкретный вопрос... Заставили писать скрипт в которм я в конец запутался и что у меня сейчас творится на серве ваще не пойму(((
Если знаете как настроить всю эту телегу СПЕЦЫФИЧНО для FC14 то дайте раскажите или ссылку, а не давайте нраваучений по пову что было бы лудше. Капитанов Очевидность на просторах инэта много, а вот дейного фиг от кого добъешся(((
Сори за пост.
Специфично для Ф14 system-config-firewall
ок, чуть подробней напишу.
правила файерволла в красношапочных можно настроить несколькими способами. Обычными являются:
- system-config-securitylevel
- system-config-securitylevel-tui
- ручное прописывание правил в файл конфига /etc/sysconfig/iptables
Фактически, все три способа будут работать с одним итем же файлом: /etc/sysconfig/iptables
Да, можно написать отдельный скрипт, в который запихать правила свои и запускать его каким-то нестандартным способом, например, пихнуть в /etc/init.d. Только этот описанный способ является лишним, поскольку, в отличие от некоторых других дистрибутивов, в комплекте идет скрипт /etc/init.d/iptables, который загружает правила из /etc/sysconfig/iptables и применяет их. исходя из этого, я считаю, что городить какие-то свои отдельные сторонние скрипты нет никакой необходимости, как минимум из-за того, что это изобретение велосипеда, и. кроме того, теряется логика управления службами. Да, iptables-save один на всех, но в данном случае он не нужен. Iptables в red Hat - просто служба, которую можно стартовать, останавливать и перезапускать.
Итак, правила записываются, не важно, графическими ли утилитами, либо псевдографическими, именно в /etc/sysconfig/iptables. Логично, что вносить исправления и дополнения следует именно туда и именно по тем правилам, как этот файл описывается.
text
*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.70:3553
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
COMMITТак.... Перенастроил теперь через system-config-firewall
Конфиг на нынешнее время выглядить так
text
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553
-A POSTROUTING -o eth+ -j MASQUERADE
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -o eth+ -j ACCEPT
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
Порт Форвард работает.
Вопрос номер 2:
КАК завернуть это дело на прозрачный SQUID (порт сквида 3128, eth1 смотрит в LAN, eth0 в Интернет) по средствам system-config-firewall специально для FC14? (Думаю вопрос сформулирован долее чем чётко)
старые правила выглядели так:
text
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
с помощью system-config-firewall даже не знаю, гораздо проще руками, прописав в /etc/sysconfig/iptables то, что и было в старых правилах по этому поводу и после этого перезапустив iptables
text
service iptables restartНе катит(
К сожалению если писать их руками то system-config-firewall начинает выдавать ошибку и просит сбросить конфиг на дефаулт.
Так что либо через system-config-firewall, Либо руками.
p.s. Третий раз перенастраивать фаервол не буду. :[
/me поражен, такой вот он system-config-firewall.
ы. Глянь это: http://www.linuxcenter.ru/lib/articles/networking/transp_proxy_minihowto.phtml
text
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553
-A POSTROUTING -o eth+ -j MASQUERADE
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -o eth+ -j ACCEPT
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Sep 26 11:22:03 2011есть опасение, что вы в кофиг добавляете и слово iptables. а этого делать не надо
newzenon
Это для другой ОСи у меня даже пунктов таких нет в SQUID.
Hrafn
Нет там никокого iptables. Вот так вот пишется правило.
/etc/sysconfig/iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
Как порты пробосить додумался сам. Всем Спасибо. :D
Как порты пробосить додумался сам. Всем Спасибо. :D
Главное натолкнуть на мысль.
© Всё приходится делать самому. smile
Войдите или зарегистрируйтесь, чтобы ответить.
