[iptables] deel 947 echt vaag

[siepeltjuh]

Ik heb gezocht, en de FAQ gelezen, maar kan geen duidelijk antwoord vinden. Voor mij is het iptables een behoorlijke brei, hoewel ik wel ongeveer weet wat het is.

Ik kan met onderstaand script prima internetten vanaf mijn netwerk. Maar nu wil ik ook poorten mappen van buiten naar binnen. Dit krijg ik niet aan de gang. In de faq staat:
iptables -A PREROUTING -t nat -p tcp -d 123.123.123.123 --dport 80 -j DNAT --to 192.168.1.2:80

Maar in welke vorm ik dat ook toepas ... werken doet het niet bij mij.. (waarschijnlijk meer mijn probleem dan dat van iptables, maar toch...)

poort 22 en 80 werken prima.. 4662 en 6881 krijg ik echter niet aan de praat. als ik op het netwerk de verschillende pc`s scan dan staan de poorten wel open op de pc`s, het zit dus echt in dit script.

code:

#!/bin/bash

#modules
modprobe ip_conntrack_ftp
modprobe iptable_nat

#Initialize
iptables --flush
iptables -t nat --flush
iptables -t mangle --flush

#Deleten
iptables --delete-chain
iptables -t nat --delete-chain
iptables -t mangle --delete-chain

# SETTEN
iptables --policy INPUT DROP
iptables --policy OUTPUT DROP
iptables --policy FORWARD DROP

# The loopback interface should accept all traffic
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

#DNS open zetten
iptables -A OUTPUT -p udp -o eth0 --dport 53 --sport 1024:65535 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 --dport 1024:65535 -j ACCEPT

#firewall laten surfen
iptables -A OUTPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -o eth0 -p tcp
iptables -A OUTPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -o eth0 -p udp
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED -i eth0 -p tcp
iptables -A INPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -i eth0 -p tcp --dport 22
iptables -A INPUT -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED -i eth0 -p tcp --dport 80 

#lokaal netwerk laten verbinden
iptables -A INPUT   -j ACCEPT -p all -s 192.168.9.0/24 -i eth1
iptables -A OUTPUT  -j ACCEPT -p all -d 192.168.9.0/24 -o eth1

#emule poorten toelaten naar de forward policy
iptables -t nat -A PREROUTING -p tcp --dport 6881 -i eth0 -j DNAT --to 192.168.9.11:6881
iptables -t nat -A PREROUTING -p tcp --dport 4662 -i eth0 -j DNAT --to 192.168.9.21:4662
iptables -t nat -A PREROUTING -p udp --dport 4672 -i eth0 -j DNAT --to 192.168.9.21:4672

iptables -A POSTROUTING -t nat -o eth0 -s 192.168.9.0/24 -d 0/0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

#boeltje forwarden
iptables -A FORWARD -t filter -i eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -t filter -i eth0 -m state --state ESTABLISHED,RELATED     -j ACCEPT
iptables -A FORWARD -p tcp --dport 6881 -j ACCEPT
iptables -A FORWARD -p tcp --dport 4662 -j ACCEPT
iptables -A FORWARD -p udp --dport 4662 -j ACCEPT

[ Voor 4% gewijzigd door siepeltjuh op 04-05-2005 21:13 ]

[Verwijderd]

Ik forward op deze manier, en het werkt altijd

code:

iptables -A PREROUTING -t nat -p tcp -d 83.85.37.***  --dport 21 -j DNAT --to 192.168.0.2:21

[igmar]

Aangezien je default policy DROP is moet je ook een regel opgeven dat de portforward zelf matched, en die ontbreekt. Logging is bij het debuggen van iptables eigelijk een vereiste

code:

iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 192.168.1.20 --dport 80 -j ACCEPT

[cool_zero]

Een plaatje kan meer zeggen dan vele woorden:

- blauw is nat table
- rood is de filter table
- geel is de server

Zoals hierboven gezegd gaat het verkeer dat naar de backend moet door de forward (en gaat daardoor niet door de input/output van de server).

[siepeltjuh]

Dus als ik pre routing gebruik dan moet ik ook forward instellen..

Het plaatje maakt me heel veel duidelijk. Ik ga meteen proberen om het verder af te maken.

*tip misschien kan de mod dat plaatje vermelden in de FAQ, die is namelijk erg duidelijk!