iptables port forworden

[Haranaka]

Ik zie jullie al denken, weer zo'n iemand met een forward vraag: RTFM

Nou ik heb al aardig wat zitten zoeken op internet (got + google), maar ik kom er maar niet uit. Vandaar dat ik toch een beroep wil doen op jullie hulp hier.

Ik draai debian unstable met een 2.6 kernel. Ik gebruik shorewall al geruime tijd als firewall op mijn linux server / router. Hierin worden al enkele poorten geforward naar mijn werkstation. Op zich werkt dit perfect.

Nu ben ik alleen bezig iets te ontwikkelen, het idee is dat alleen als ik het nodig vind dat op de router een poort (tcp 6246) wordt geforward naar een andere bak in mijn netwerk. En dus ook dat ik de firewall weer dicht pleur als ik klaar ben.

Na mijn eerder genoemde zoektoch kwam ik tot de volgende regel:
iptables -A FORWARD -s 0/0 -i eth0 -d 192.168.0.2 -o eth1 -p tcp --dport 6246 -j ACCEPT

Als ik dit uitvoer dan zie ik met iptables -L hem er wel tussen staan en ziet het er niet anders uit dan regels die shorewall genereerd mbt de eerder genoemde poorten die worden doorgestuurd naar mijn werkstation.
voorbeeld:
# iptables -L | grep 192.168.0.
ACCEPT tcp -- anywhere 192.168.0.2 tcp dpt:6246
ACCEPT tcp -- anywhere 192.168.0.10 tcp dpt:4556
...

Maar je raad het al, van binnen het netwerk is het geen probleem om te connecten naar 192.168.0.2:6246, maar vanaf het internet niet.

Ik doe ongetwijfeld iets fout, maar wie kan mij vertellen wat?

[doelman]

Misschien heb je hier nog wat aan: http://www.gentoo.org/doc/en/home-router-howto.xml#doc_chap6

[No13]

Haranaka schreef op woensdag 21 december 2005 @ 12:58:
[knip]
Na mijn eerder genoemde zoektoch kwam ik tot de volgende regel:
iptables -A FORWARD -s 0/0 -i eth0 -d 192.168.0.2 -o eth1 -p tcp --dport 6246 -j ACCEPT
[knip]

Bij mij weten sta je alleen een bepaalde actie toe hier (verkeer wat geforward zou worden en binnenkomt op eth0, uitgaat op eth1 enz enz).

Het daadwerkelijke forwarding gaat toch met NAT en de chain PREROUTING?

code:

iptables -t nat -A PREROUTING -i eth0 -d $INETIP -p tcp --dport 6246 -j DNAT --to-destination $LOKAALIP:6246

Zo doe ik het tenminste op mijn slackware machine met iptables