Linux Forum — Iptables + port forwarding

Re: Iptables + port forwarding

null@example.com (zenon) — Mon, 26 Sep 2011 10:55:04 +0000

GLADIATOR13 пишет:

Как порты пробосить додумался сам. Всем Спасибо.

Главное натолкнуть на мысль.
© Всё приходится делать самому. smile

Re: Iptables + port forwarding

null@example.com (GLADIATOR13) — Mon, 26 Sep 2011 10:37:09 +0000

newzenon

Это для другой ОСи у меня даже пунктов таких нет в SQUID.

Hrafn

Нет там никокого iptables. Вот так вот пишется правило.
/etc/sysconfig/iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128

Как порты пробосить додумался сам. Всем Спасибо.

Re: Iptables + port forwarding

null@example.com (Hrafn) — Mon, 26 Sep 2011 10:22:20 +0000

# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553 
-A POSTROUTING -o eth+ -j MASQUERADE 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -p icmp -j ACCEPT 
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth+ -j ACCEPT 
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011

есть опасение, что вы в кофиг добавляете и слово iptables. а этого делать не надо

Re: Iptables + port forwarding

null@example.com (zenon) — Mon, 26 Sep 2011 10:05:01 +0000

/me поражен, такой вот он system-config-firewall.
ы. Глянь это: http://www.linuxcenter.ru/lib/articles/ … owto.phtml

Re: Iptables + port forwarding

null@example.com (GLADIATOR13) — Mon, 26 Sep 2011 09:43:58 +0000

Не катит(

К сожалению если писать их руками то system-config-firewall начинает выдавать ошибку и просит сбросить конфиг на дефаулт.

Так что либо через system-config-firewall, Либо руками.

p.s. Третий раз перенастраивать фаервол не буду.

Re: Iptables + port forwarding

null@example.com (Hrafn) — Mon, 26 Sep 2011 09:37:37 +0000

с помощью system-config-firewall даже не знаю, гораздо проще руками, прописав в /etc/sysconfig/iptables то, что и было в старых правилах по этому поводу и после этого перезапустив iptables

service iptables restart

Re: Iptables + port forwarding

null@example.com (GLADIATOR13) — Mon, 26 Sep 2011 07:31:20 +0000

Так.... Перенастроил теперь через system-config-firewall

Конфиг на нынешнее время выглядить так

# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*nat
:PREROUTING ACCEPT [33:2189]
:OUTPUT ACCEPT [3:175]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth+ -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.79:3553 
-A POSTROUTING -o eth+ -j MASQUERADE 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011
# Generated by iptables-save v1.4.9 on Mon Sep 26 11:22:03 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [13:1434]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 137 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 138 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 3553 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 67 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT 
-A INPUT -p udp -m state --state NEW -m udp --dport 68 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -p icmp -j ACCEPT 
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth+ -j ACCEPT 
-A FORWARD -d 192.168.10.79/32 -i eth+ -p tcp -m state --state NEW -m tcp --dport 3553 -j ACCEPT 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT
# Completed on Mon Sep 26 11:22:03 2011

Порт Форвард работает.

Вопрос номер 2:

КАК завернуть это дело на прозрачный SQUID (порт сквида 3128, eth1 смотрит в LAN, eth0 в Интернет) по средствам system-config-firewall специально для FC14? (Думаю вопрос сформулирован долее чем чётко)

старые правила выглядели так:

iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128

Re: Iptables + port forwarding

null@example.com (Hrafn) — Thu, 22 Sep 2011 06:02:58 +0000

ок, чуть подробней напишу.
правила файерволла в красношапочных можно настроить несколькими способами. Обычными являются:

system-config-securitylevel

system-config-securitylevel-tui

ручное прописывание правил в файл конфига /etc/sysconfig/iptables

Фактически, все три способа будут работать с одним итем же файлом: /etc/sysconfig/iptables
Да, можно написать отдельный скрипт, в который запихать правила свои и запускать его каким-то нестандартным способом, например, пихнуть в /etc/init.d. Только этот описанный способ является лишним, поскольку, в отличие от некоторых других дистрибутивов, в комплекте идет скрипт /etc/init.d/iptables, который загружает правила из /etc/sysconfig/iptables и применяет их. исходя из этого, я считаю, что городить какие-то свои отдельные сторонние скрипты нет никакой необходимости, как минимум из-за того, что это изобретение велосипеда, и. кроме того, теряется логика управления службами. Да, iptables-save один на всех, но в данном случае он не нужен. Iptables в red Hat - просто служба, которую можно стартовать, останавливать и перезапускать.

Итак, правила записываются, не важно, графическими ли утилитами, либо псевдографическими, именно в /etc/sysconfig/iptables. Логично, что вносить исправления и дополнения следует именно туда и именно по тем правилам, как этот файл описывается.

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.10.1:3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.10.1:3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 3128 
-A PREROUTING -i eth0 -p tcp -m tcp --dport 3553 -j DNAT --to-destination 192.168.10.70:3553
-A POSTROUTING -o eth0 -j MASQUERADE 
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -i eth1 -o eth0 -j ACCEPT 
COMMIT

Re: Iptables + port forwarding

null@example.com (Vascom) — Thu, 22 Sep 2011 05:55:34 +0000

Специфично для Ф14 system-config-firewall

Re: Iptables + port forwarding

null@example.com (GLADIATOR13) — Thu, 22 Sep 2011 04:37:54 +0000

Флуд, Флуд... Я задал конкретный вопрос... Заставили писать скрипт в которм я в конец запутался и что у меня сейчас творится на серве ваще не пойму(((

Если знаете как настроить всю эту телегу СПЕЦЫФИЧНО для FC14 то дайте раскажите или ссылку, а не давайте нраваучений по пову что было бы лудше. Капитанов Очевидность на просторах инэта много, а вот дейного фиг от кого добъешся(((

Сори за пост.

Re: Iptables + port forwarding

null@example.com (Kettler) — Wed, 21 Sep 2011 20:53:34 +0000

Автор это пробуй
http://linuxforum.ru/viewtopic.php?pid=212560#p212560
и не фиг тут разводить флуд.
newzenon во многом не прав но промолчу.
Hrafn чуть не прав. iptables-save один для всех, а типо iptables resore может быть по разному.
Автор давай без всяких там fat для того чтоб не было мелких ошибок.

Re: Iptables + port forwarding

null@example.com (zenon) — Wed, 21 Sep 2011 20:17:10 +0000

Hrafn пишет:

если в дистрибутиве существуют стандартные для него методы настройки, то, я так считаю, их придерживаться и надо.

Ну я спрашивал что есть стандартные методы настройки для FC - ответа не было. Точнее он может и был http://linuxforum.ru/viewtopic.php?pid=212565#p212565 но главное что интересовало, раз уж говорим о специфике дистрибутива - это инструменты для создания правил iptables в Федоре, iptables-save/restore - есть везде.

Re: Iptables + port forwarding

null@example.com (Hrafn) — Wed, 21 Sep 2011 17:51:28 +0000

Что проверять-то? Я писал, что работать будет и из простого bash-скрипта, и из конфига.
Вопрос не в том, как запускать, а в том, что если в дистрибутиве существуют стандартные для него методы настройки, то, я так считаю, их придерживаться и надо. Если не ради самого себя, то ради того, кому этим сервером придется заниматься после тебя.

К тому же, судя по всему, ТС пока не достаточно хорошо разбирается в вопросе и создавать дополнительные трудности - зачем?

Допустим, в красношапочных дистрах я не припомню /sbin/runscript. Встречал такое только в Gentoo.
Переменные в Bash объявляются без export.

Re: Iptables + port forwarding

null@example.com (zenon) — Wed, 21 Sep 2011 17:40:21 +0000

Hrafn, специально из-за этого топика поставлю Федору и проверю.

Re: Iptables + port forwarding

null@example.com (Hrafn) — Wed, 21 Sep 2011 17:40:09 +0000

Ко всем же остальным, кто отметился в этой теме, кроме ТС...
Большая просьба, если задается конкретный вопрос от кого-либо, будьте добры решать именно запрошенную проблему, а не создавать лишние сложности. Не забывайте, что уровень у посетителей форума очень разный и не все понимают, каким образом работает то или иное в дистрибутивах.
Если же начинаете объяснять что-то, выходящие за пределы темы, заявленной ТС, то будьте добры объяснять как можно более подробно и доступно, дабы многие вопросы отпадали сами.

Надеюсь на понимание. Спасибо.