1 Тема от kom-pik

  • kom-pik
  • Пользователь
  • Неактивен
  • Зарегистрирован: 11.04.2011
  • Сообщений: 214
  • Репутация : [ 0 | 0 ]

Есть сервак - шлюз с тремя сетевухами, есть некий скрипт, который раздает нет.
Подскажите как в скрипте прописать dmz? И как лучше сделать, указать ip сервера находящийся в локалке
(шлюз <----> switch <----> сервер) или напрямую к шлюзу (шлюз <-----> сервер)?

2 Ответ от Vadimsky (11.04.2011 22:38:26 отредактировано Vadimsky)

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Не совсем понятно, что же вы хотите сделать, но если я правильно понял, то вам вот это нужно:

 Консоль:

/sbin/iptables -t nat -A PREROUTING --dst $WAN1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.100
/sbin/iptables -A FORWARD -i eth1 -o eth0 -d 192.168.0.100 -p tcp -m tcp --dport 80 -j ACCEPT

где 192.168.0.100 - ваш внутренний сервер
$WAN1 - ваш внешний белый IP

Это будет доступ в вебсерверу снаружи, простейший пример.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

3 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

--dport какой слушать порт в нашем примере 4889
--to-destination куда послать в нашем примере на 192.168.0.7 порт 4889
iptables -t nat -A PREROUTING -p tcp --dport 4889 -j DNAT --to-destination 192.168.0.7:4889

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

4 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Vadimsky не забываем про обратку

/sbin/iptables -A FORWARD -i eth1 -o eth0 -d 192.168.0.100 -p tcp -m tcp --dport 80 -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -o eth1 -s 192.168.0.100 -p tcp -m tcp --dport 80 -j ACCEPT

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

5 Ответ от kom-pik

  • kom-pik
  • Пользователь
  • Неактивен
  • Зарегистрирован: 11.04.2011
  • Сообщений: 214
  • Репутация : [ 0 | 0 ]

есть сервер в локалке, его надо в демилитаризованную зону запихнуть

6 Ответ от Vadimsky (11.04.2011 22:44:55 отредактировано Vadimsky)

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Ну если у него указано

 Консоль:
/sbin/iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

то явно указывать обратку не требуется.

Демилитаризованная зона: тупо созадеёте на шлюзе ещё один виртуальный интерфейс, например eth0 - мир, eth1 -локалка, создаем eth1:1 с IP диапазона DMZ и в правилах пробрасываем порты на IР сервера из этого диапазона.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

7 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
kom-pik пишет:

есть сервер в локалке, его надо в демилитаризованную зону запихнуть

токо сегодня думал но пока как то не особо

как так думаю но не проверял
iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-destination 192.168.0.7

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

8 Ответ от kom-pik

  • kom-pik
  • Пользователь
  • Неактивен
  • Зарегистрирован: 11.04.2011
  • Сообщений: 214
  • Репутация : [ 0 | 0 ]

у меня eth0 wan
          eth1 lan
          eth2 отключен.

так пытался в обычном роуторе сделать, прокинуть порты, работает только тогда, когда в dmz пропишешь его. эт не web сервер.
на нем стоит специфическая прога, она работает напрямую с сайтом (производится бронирование номеров в отелях через сайт. все завязана на этой проге. использует фигову тучу портов, проброс портов не катит, не работает.)

9 Ответ от kom-pik

  • kom-pik
  • Пользователь
  • Неактивен
  • Зарегистрирован: 11.04.2011
  • Сообщений: 214
  • Репутация : [ 0 | 0 ]
Kettler пишет:

токо сегодня думал но пока как то не особо
как так думаю но не проверял
iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-destination 192.168.0.7

Пробовал, получилось у тебя?

10 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Пока нет возьми пробни)

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.