Linux Forum — Iptables + port forwarding

Re: Iptables + port forwarding

2011-09-26T10:55:04Z

GLADIATOR13 пишет:

Как порты пробосить додумался сам. Всем Спасибо.

Главное натолкнуть на мысль.
© Всё приходится делать самому. smile

Re: Iptables + port forwarding

2011-09-26T10:37:09Z

newzenon

Это для другой ОСи у меня даже пунктов таких нет в SQUID.

Hrafn

Нет там никокого iptables. Вот так вот пишется правило.
/etc/sysconfig/iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128

Как порты пробосить додумался сам. Всем Спасибо.

Re: Iptables + port forwarding

2011-09-26T10:22:20Z

# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553 
-A POSTROUTING -o eth+ -j MASQUERADE 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -p icmp -j ACCEPT 
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth+ -j ACCEPT 
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011

есть опасение, что вы в кофиг добавляете и слово iptables. а этого делать не надо

Re: Iptables + port forwarding

2011-09-26T10:05:01Z

/me поражен, такой вот он system-config-firewall.
ы. Глянь это: http://www.linuxcenter.ru/lib/articles/ … owto.phtml

Re: Iptables + port forwarding

2011-09-26T09:43:58Z

Не катит(

К сожалению если писать их руками то system-config-firewall начинает выдавать ошибку и просит сбросить конфиг на дефаулт.

Так что либо через system-config-firewall, Либо руками.

p.s. Третий раз перенастраивать фаервол не буду.

Re: Iptables + port forwarding

2011-09-26T09:37:37Z

с помощью system-config-firewall даже не знаю, гораздо проще руками, прописав в /etc/sysconfig/iptables то, что и было в старых правилах по этому поводу и после этого перезапустив iptables

service iptables restart

Re: Iptables + port forwarding

2011-09-26T07:31:20Z

Так.... Перенастроил теперь через system-config-firewall

Конфиг на нынешнее время выглядить так

# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553 
-A POSTROUTING -o eth+ -j MASQUERADE 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -p icmp -j ACCEPT 
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth+ -j ACCEPT 
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011

Порт Форвард работает.

Вопрос номер 2:

КАК завернуть это дело на прозрачный SQUID (порт сквида 3128, eth1 смотрит в LAN, eth0 в Интернет) по средствам system-config-firewall специально для FC14? (Думаю вопрос сформулирован долее чем чётко)

старые правила выглядели так:

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128

Re: Iptables + port forwarding

2011-09-22T06:02:58Z

ок, чуть подробней напишу.
правила файерволла в красношапочных можно настроить несколькими способами. Обычными являются:

system-config-securitylevel

system-config-securitylevel-tui

ручное прописывание правил в файл конфига /etc/sysconfig/iptables

Фактически, все три способа будут работать с одним итем же файлом: /etc/sysconfig/iptables
Да, можно написать отдельный скрипт, в который запихать правила свои и запускать его каким-то нестандартным способом, например, пихнуть в /etc/init.d. Только этот описанный способ является лишним, поскольку, в отличие от некоторых других дистрибутивов, в комплекте идет скрипт /etc/init.d/iptables, который загружает правила из /etc/sysconfig/iptables и применяет их. исходя из этого, я считаю, что городить какие-то свои отдельные сторонние скрипты нет никакой необходимости, как минимум из-за того, что это изобретение велосипеда, и. кроме того, теряется логика управления службами. Да, iptables-save один на всех, но в данном случае он не нужен. Iptables в red Hat - просто служба, которую можно стартовать, останавливать и перезапускать.

Итак, правила записываются, не важно, графическими ли утилитами, либо псевдографическими, именно в /etc/sysconfig/iptables. Логично, что вносить исправления и дополнения следует именно туда и именно по тем правилам, как этот файл описывается.

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.70:3553
-A POSTROUTING -o eth0 -j MASQUERADE 
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -i eth1 -o eth0 -j ACCEPT 
COMMIT

Re: Iptables + port forwarding

2011-09-22T05:55:34Z

Специфично для Ф14 system-config-firewall

Re: Iptables + port forwarding

2011-09-22T04:37:54Z

Флуд, Флуд... Я задал конкретный вопрос... Заставили писать скрипт в которм я в конец запутался и что у меня сейчас творится на серве ваще не пойму(((

Если знаете как настроить всю эту телегу СПЕЦЫФИЧНО для FC14 то дайте раскажите или ссылку, а не давайте нраваучений по пову что было бы лудше. Капитанов Очевидность на просторах инэта много, а вот дейного фиг от кого добъешся(((

Сори за пост.

Re: Iptables + port forwarding

2011-09-21T20:53:34Z

Автор это пробуй
http://linuxforum.ru/viewtopic.php?pid=212560#p212560
и не фиг тут разводить флуд.
newzenon во многом не прав но промолчу.
Hrafn чуть не прав. iptables-save один для всех, а типо iptables resore может быть по разному.
Автор давай без всяких там fat для того чтоб не было мелких ошибок.

Re: Iptables + port forwarding

2011-09-21T20:17:10Z

Hrafn пишет:

если в дистрибутиве существуют стандартные для него методы настройки, то, я так считаю, их придерживаться и надо.

Ну я спрашивал что есть стандартные методы настройки для FC - ответа не было. Точнее он может и был http://linuxforum.ru/viewtopic.php?pid=212565#p212565 но главное что интересовало, раз уж говорим о специфике дистрибутива - это инструменты для создания правил iptables в Федоре, iptables-save/restore - есть везде.

Re: Iptables + port forwarding

2011-09-21T17:51:28Z

Что проверять-то? Я писал, что работать будет и из простого bash-скрипта, и из конфига.
Вопрос не в том, как запускать, а в том, что если в дистрибутиве существуют стандартные для него методы настройки, то, я так считаю, их придерживаться и надо. Если не ради самого себя, то ради того, кому этим сервером придется заниматься после тебя.

К тому же, судя по всему, ТС пока не достаточно хорошо разбирается в вопросе и создавать дополнительные трудности - зачем?

Допустим, в красношапочных дистрах я не припомню /sbin/runscript. Встречал такое только в Gentoo.
Переменные в Bash объявляются без export.

Re: Iptables + port forwarding

2011-09-21T17:40:21Z

Hrafn, специально из-за этого топика поставлю Федору и проверю.

Re: Iptables + port forwarding

2011-09-21T17:40:09Z

Ко всем же остальным, кто отметился в этой теме, кроме ТС...
Большая просьба, если задается конкретный вопрос от кого-либо, будьте добры решать именно запрошенную проблему, а не создавать лишние сложности. Не забывайте, что уровень у посетителей форума очень разный и не все понимают, каким образом работает то или иное в дистрибутивах.
Если же начинаете объяснять что-то, выходящие за пределы темы, заявленной ТС, то будьте добры объяснять как можно более подробно и доступно, дабы многие вопросы отпадали сами.

Надеюсь на понимание. Спасибо.