[IPTABLES] FORWARD probleem

[Verwijderd]

Ik zit met het volgende probleem dat maar niet wil lukken

situatie schets:


Nu wil ik dat als de client het ip van de webserver intikt deze gewoon de webpagina krijgt te zien( de firewall laat verkeer dus gewoon door). Het moet dus als ware transparant zijn. Ik weet niet zeker of de volgende regel van toepassing zijn op mijn probleem, maar dit was het meest logische wat ik kon vinden.

de volgende regels heb ik toegevoegd in mijn iptables script maar het wil niet lukken:

code:

-A FORWARD -p TCP -i eth0 -s eth1 --dport 80 -d 10.0.0.2 -s 192.168.0.2 -m state --state NEW -j ACCEPT
-A FORWARD -p icmp -s 192.168.0.2 -j ACCEPT

code:

-A PREROUTING -p tcp -i eth0 -d 10.0.0.1 --dport 80 --sport 1024:65535 -j DNAT --to 10.0.0.2
-A PREROUTING -p TCP -i eth0 80 -j DNAT --to 10.0.0.2

[ Voor 11% gewijzigd door Verwijderd op 20-06-2005 12:28 ]

[Verwijderd]

Heb je :
/proc/sys/net/ipv4/ip_forward op 1 staan?

[MTWZZ]

Je forward nu alleen maar nieuwe TCP verbindingen die vanaf de client komen. Vanaf de server komt niets terug de andere kant op.
Wat je kunt doen is dit:

code:

iptables -A FORWAD -j ACCEPT -s 192.168.0.0/24 -d 0/0 -i eth0 -o eth1
iptables -A FORWAD -j ACCEPT -s 0/0 -d 192.168.0.0/24 -i eth1 -o eth0

en dan de boel NAT'en met:

code:

iptables -t nat -A POSTROUTING -j MASQUERADE -s 192.168.0.0/24 -d ! 192.168.0.0/24

En ook niet vergeten om forwarding aan te zetten:

code:

echo 1 > /proc/sys/net/ipv4/ip_forward

[Verwijderd]

Ipforwardig stond aan,

Ik zal er straks eens naar gaan kijken of het allemaal werkt. In iedergeval bedankt.

p.s
Kan het topic nog even open blijven voor eventuele feedback

[neh]

MTWZZ schreef op maandag 20 juni 2005 @ 12:44:
Je forward nu alleen maar nieuwe TCP verbindingen die vanaf de client komen. Vanaf de server komt niets terug de andere kant op.
Wat je kunt doen is dit:

code:

iptables -A FORWAD -j ACCEPT -s 192.168.0.0/24 -d 0/0 -i eth0 -o eth1
iptables -A FORWAD -j ACCEPT -s 0/0 -d 192.168.0.0/24 -i eth1 -o eth0

Aangezien hij met zijn eerste accept connection tracking al activeert lijkt het me een mooiere oplossing om gewoon related verkeer door te laten.

TS: waarom wil je dat verkeer vanaf dat 192 netwerk geNAT wordt? is het niet mogelijk om een route terug in te voeren op de webserver of zijn router?

[Verwijderd]

Dat is mijn hele punt nu!

Ik wil via mijn 192 range de server in 10 range benaderen.
Mij werd verteld dat dit mogelijk was via een routing. Maar de routing die ik net kreeg blijkt ook niet te werken ?
Ik had niet verwacht dat het zo'n probleem zou zijn om verkeer naar een andere NIC door te sturen.
Maar in iedergeval bedankt, mochten iemand nog enig inbreng hebben...GRAAG want ik probeer dit nu al 2 dagen

[ Voor 47% gewijzigd door Verwijderd op 20-06-2005 14:27 ]

[MTWZZ]

Hm als het alleen routing is dan zou dat niet zo'n probleem moeten wezen.
De firewall is neem ik aan de default gateway?
Zoiets zou het moeten doen:

code:

$> route add -net 10.0.0.0/24 gw 10.0.0.1 netmask 255.255.255.0 eth1
$> route add -net 192.168.0.0/24 gw 192.168.0.1 netmask 255.255.255.0 eth0

Moet genoeg zijn om je firewall aan het routen te krijgen. Ik heb het bij m'n vpn tenminste zo gedaan en het werkt als de brandweer.

[neh]

Verwijderd schreef op maandag 20 juni 2005 @ 14:11:
Dat is mijn hele punt nu!

Ik wil via mijn 192 range de server in 10 range benaderen.
Mij werd verteld dat dit mogelijk was via een routing. Maar de routing die ik net kreeg blijkt ook niet te werken ?

Dat zijn geen routings, dat zijn firewall regels.

Wat is je default policy voor de forward chain? Als die default op accept staat heb je heel die iptables regels niet nodig.

Zolang ip forwarding aanstaat EN de default gateways van je clients (op beide netwerken!) wijzen naar het IP van de firewall op dat netwerk dan zou het moeten werken.

Werkt dat niet dan heb je waarschijnlijk je firewall verkeerd ingesteld.

Post eens de volgende zaken:

- De routetabel van je firewall
- De iptables -L uitvoer op je firewall
- De routetabel op een client in het 192 netwerk
- De routetabel van je webserver

MTWZZ schreef op maandag 20 juni 2005 @ 15:12:
Zoiets zou het moeten doen:

code:

$> route add -net 10.0.0.0/24 gw 10.0.0.1 netmask 255.255.255.0 eth1
$> route add -net 192.168.0.0/24 gw 192.168.0.1 netmask 255.255.255.0 eth0

die routes worden standaard al aangemaakt op het moment dat de ethernet interfaces worden opgebracht mag ik hopen.

[ Voor 19% gewijzigd door neh op 20-06-2005 19:17 ]

[Verwijderd]

Waarom begin je niet met de policy van de forward chain op accept te zetten, je routing werkend maken, en dan pas wat regels in forward gooien.
Op deze manier weet je als het niet werkt, dat het niet aan iptables ligt.

Verder heb je voor de setup in je plaatje geen masquerading of snat nodig.

[ Voor 27% gewijzigd door Verwijderd op 21-06-2005 09:22 ]