[Решено]Подключиться из вне по rdp к внутреннему компу Windows

22.04.2010 10:14 · отредактировано #31019

ребят, подскажите пожалуйста. задача в следующем, есть локалка, в которой есть шлюз на SUSE для выхода в инет. Как извне зайти по rdp на виндовую машину в локалке? Пробовал настроить SuSEfirewall с такими настройками

text

#сетевуха в инет
FW_DEV_EXT="eth1"
#сетевуха в локалку
FW_DEV_INT="eth0"
FW_ROUTE="yes"   
FW_MASQUERADE="yes"
#222.222.222.222 - внешний ip сетевухи eth1
#192.168.1.15 - ip виндовой машины
FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222"

но соединения нет :( . Подскажите куда копать

22.04.2010 10:29 #31026

fiZik,
- Адресация внутри сети статика или динамика?
- Какая версия дистрибьютива Suse?

22.04.2010 10:40 #31028

именно этому компу статика. Версия, если быть точным, SLES 11

22.04.2010 11:30 #31039

fiZik написал:
ребят, подскажите пожалуйста. задача в следующем, есть локалка, в которой есть шлюз на SUSE для выхода в инет. Как извне зайти по rdp на виндовую машину в локалке? Пробовал настроить SuSEfirewall с такими настройками
text
#сетевуха в инет
FW_DEV_EXT="eth1"
#сетевуха в локалку
FW_DEV_INT="eth0"
FW_ROUTE="yes"   
FW_MASQUERADE="yes"
#222.222.222.222 - внешний ip сетевухи eth1
#192.168.1.15 - ip виндовой машины
FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222"
но соединения нет :( . Подскажите куда копать

Если нужный комп имеет интернет("белый") адрес, то простым рутингом.
Если интранет("серый") адрес, то нужно пробросить нужный порт с шлюза на нужный ком. Либо с помощью iptables, либо с помощью xinrt.d.

22.04.2010 11:55 #31056

комп находится в локалке и никаких адресов кроме локального у него нет. я и пытаюсь настроить через SuSEfirewall но получается и не знаю куда копать

22.04.2010 12:07 #31059

fiZik,

- Пинговать получается шлюз Sles с машины с которой Вы хотите войти?
- Немного уточню вопрос CyberDaemon у Вас IP внешний на шлюзе или внутренний?

Скажу так, я не разу не сталкивался с настройками SuSEfirewall ибо всегда держу его выключенным, подобные функции мне проще настроить на маршрутизаторе, так что я смогу Вам помочь натолкнуть на мысль, но не полностью дать ответ, если такой исход Вас устраивает, давайте разбираться smile

22.04.2010 12:21 · отредактировано #31066

На шлюзе 2 сетевухи (одна в нет, другая в локалку). Внешний IP статический. На шлюз я могу удаленно зайти по ssh через интернет

22.04.2010 12:43 #31074

Если Вы можете влазить на шлюз по ssh, Вам просто необходимо на шлюзе добавить маршруты соответствия или выполнить проброс порта. При написании соответсвия на маршрутизаторе, Вам необходимо учесть, некоторые детали, а именно порт по которому работает rdp. Иными словами у Вас сам маршрут должен выглядеть примерно так global (IP, port)=local (IP, port). В итоге получаем, что когда Вы будите обращаться к IP шлюза по указанному Вами порту"global (IP, port)", Ваш шлюз автоматически будет транслировать это соединение на нужную Вам машину "local (IP, port)". Порты можно назначить ссамому, но желательно на управляемой машине использовать номер порта по которому работает rdp.

скажу проще, у Вас ошибка тут

FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222"

- хотя где именно не знаю, я настройками Фаервола никогда не занимался.
Так же вам необходимо прописать маршруты меду сетевыми интерфейсами.

22.04.2010 15:59 #31208

Принципы работы нат я знаю. Я не могу это настроить в своем фейрволе. Вот тут http://ru.opensuse.org/SuSEfirewall2 описано как делать. Моя строка FW_FORWARD_MASQ отличается только моими ip адресами, но ничего так и не работает

22.04.2010 16:45 #31252

fiZik написал:
Принципы работы нат я знаю. Я не могу это настроить в своем фейрволе. Вот тут http://ru.opensuse.org/SuSEfirewall2 описано как делать. Моя строка FW_FORWARD_MASQ отличается только моими ip адресами, но ничего так и не работает

Может это надо? Такой вариант.
Доступ к компьютерам во внутренней сети

Для получения доступа к некому компьютеру (внутренней сети), с использованием определенного порта (например TCP), используется переменная FW_FORDARD_MASQ

Например:
FW_FORWARD_MASQ="0/0,192.168.0.11,tcp,80"

Все запросы на 80 TCP порт, приходящие из Интернет на внешний интерфейс фаервола, будут перенаправлены на внутренний компьютер, внутренней сети, с IP адресом 192.168.0.11

22.04.2010 16:53 #31257

fiZik,
Ну тогда отталкиваясь от Вашей настройки и касаемо инструкции, принципы Вы знаете, поедем по сабжу smile
Это Ваша настройка:
#сетевуха в инет
FW_DEV_EXT="eth1" добавить МАС-адрес
#сетевуха в локалку
FW_DEV_INT="eth0" добавить МАС-адрес
отсутсвует разрешение к сервисам (ssh,udp...rdp), а так же
FW_MASQ_NETS="0/0" - это можно выставить для тестирование потом подправить и настроить на нужные, этот даёт полный доступ всему.
FW_ROUTE="yes"
FW_MASQUERADE="yes"

#222.222.222.222 - внешний ip сетевухи eth1 - это почему Вы тут описывали непонятно.
#192.168.1.15 - ip виндовой машины - это то же не вызывает доверия,
Приведённые две строчки можно заменить на:
FW_FORWARD_MASQ="0/0,192.168.1.15,[далее указав какие сервисы используются и по каким портам] Этим самым мы и назначаем доступ к управляемой машине по IP.

FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222" - укажите тут сервисы, которые будут перенаправляться.

Вроде всё, опять же всё по той инструкции что Вы привели. wink

22.04.2010 18:04 #31281

CyberDaemon написал:
[quote=fiZik]Принципы работы нат я знаю. Я не могу это настроить в своем фейрволе. Вот тут http://ru.opensuse.org/SuSEfirewall2 описано как делать. Моя строка FW_FORWARD_MASQ отличается только моими ip адресами, но ничего так и не работает

Может это надо? Такой вариант.
Доступ к компьютерам во внутренней сети

Для получения доступа к некому компьютеру (внутренней сети), с использованием определенного порта (например TCP), используется переменная FW_FORDARD_MASQ

Например:
FW_FORWARD_MASQ="0/0,192.168.0.11,tcp,80"

Все запросы на 80 TCP порт, приходящие из Интернет на внешний интерфейс фаервола, будут перенаправлены на внутренний компьютер, внутренней сети, с IP адресом 192.168.0.11[/quote]
так я тоже пробовал. не получилось

step_slim написал:
fiZik,
Ну тогда отталкиваясь от Вашей настройки и касаемо инструкции, принципы Вы знаете, поедем по сабжу smile
Это Ваша настройка:
#сетевуха в инет
FW_DEV_EXT="eth1" добавить МАС-адрес
#сетевуха в локалку
FW_DEV_INT="eth0" добавить МАС-адрес
отсутсвует разрешение к сервисам (ssh,udp...rdp), а так же
FW_MASQ_NETS="0/0" - это можно выставить для тестирование потом подправить и настроить на нужные, этот даёт полный доступ всему.
FW_ROUTE="yes"
FW_MASQUERADE="yes"

#222.222.222.222 - внешний ip сетевухи eth1 - это почему Вы тут описывали непонятно.
#192.168.1.15 - ip виндовой машины - это то же не вызывает доверия,
Приведённые две строчки можно заменить на:
FW_FORWARD_MASQ="0/0,192.168.1.15,[далее указав какие сервисы используются и по каким портам] Этим самым мы и назначаем доступ к управляемой машине по IP.

FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222" - укажите тут сервисы, которые будут перенаправляться.

Вроде всё, опять же всё по той инструкции что Вы привели. wink

MAC адреса в эти параметры вставлять нельзя, только список интерфейсов или псевдонимов. Доступ к сервисам открывается только в том случае если эти сервисы используются именно на сервере (шлюзе). В параметре FW_FORWARD_MASQ нельзя прописывать сервисы. Можно только протоколы(tcp и udp)

22.04.2010 23:12 #31411

fiZik,
Значит начнём разбираться по шагам, так будет проще.

FW_DEV_EXT="eth1"
FW_DEV_INT="eth0"

Тут всё правильно, Вы прописали интерфейсы внешний внутренний.

А вот тут должно быть Разрешение доступа к сервисам (пример с инструкции, Вы должны добавить свои сервисы)

FW_SERVICES_EXT_TCP="ssh"
FW_SERVICES_EXT_TCP="ftp 22 telnet 512:514"
FW_SERVICES_EXT_UDP="631 400:405"

И это для внешний интерфейсов, соответственно для внутренних будет так:

FW_SERVICES_INT_TCP="ssh"
FW_SERVICES_INT_TCP="ftp 22 telnet 512:514"
FW_SERVICES_INT_UDP="631 400:405"

FW_ROUTE="yes"
FW_MASQUERADE="yes"

Активация маскарадинга

FW_MASQ_NETS="0/0"
Вот где должен быть он, а не в сервисах, даёт неограниченный доступ. Этот параметр Вам даст доступ ко всей сети находящийся за маршрутизатором, поэтому вначале протестируйте так, поключится, а потом для безопасности вместо нулей укажите точный IP адрес машины и порт.

FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389,3389,222.222.222.222 0/0,192.168.1.15,udp,3389,3389,222.222.222.222"

Создаём доступ к маскированным адресам.

Коллега, Вы извините что я так всё по полочкам, в большей степени я это делаю для себя, что бы разобраться и вникнуть в топологию, согласитесь тяжело телепатически вникать в систему принцип который ты знаешь хорошо, а как реализовать на ином оборудовании пытаешься понять.

22.04.2010 23:30 · отредактировано #31429

text

# в инет
FW_DEV_EXT="eth1"
# в локалку
FW_DEV_INT="eth0"
FW_ROUTE="yes"   
FW_MASQUERADE="yes"
# Выбираем интерфейс для маскарадинга
FW_MASQ_DEV="zone:ext"
# разрешить сети 192.168.1.0/24 доступ в инет
FW_MASQ_NETS="192.168.1.0/24,0/0"
# Все запросы на 3389 TCP порт из Интернет на внешний интерфейс будут перенаправлены на внутренний IP адрес 192.168.1.15
FW_FORWARD_MASQ="0/0,192.168.1.15,tcp,3389"

23.04.2010 02:19 · отредактировано #31487

Сбросив все настройки и сделав как в первом моем посте, только к другому компу, все получилось smile . Тот комп, к которому я подключался, защищен KIS, который и блокировал подключение без предупреждений. Меня сбило с толку, что с локалки все подключалось, просто при пробросе портов трафик считается как внешний и он отвергался касперским. По поводу FW_MASQ_NETS="0/0" то это необязательно, потому как этот параметр опредяет разрешения для доступа в инет внутренним сетям или хостам. Всем спасибо за оказанное содействие, проблема решена