[IPTables]

[TvdW]

Ik zit met een probleempje.

Netwerksituatie thuis :

code:

 - Modem/router : Speedtoch 510 v4.2
   |--> Switch (4-poorts, geen software of wat dan ook)
         |--> Computers bedrijf + zusje
         |--> Hub (mijn kamer)
               |--> Mijn pc
               |--> Server

Router staat ingesteld dat de server al het verkeer krijgt (écht alles) en dus ook het publieke IP.

Dit werkt allemaal perfect. Op mijn server draait een iptables script die netjes alles forward naar alle andere pc's, maar daar zit een klein probleem in.

Als ik ga kijken bij uTorrent (tijdens het downloaden) onder het kopje Peers, dan zie ik ongeveer dit :

code:

server.lan    uTorrent 1.7.7    100    1.5 kB/s
server.lan    uTorrent 1.7.5    100    7.4 kB/s
server.lan    uTorrent 1.7.1    100    6.2 kB/s
server.lan    uTorrent 1.7.2    100    2.8 kB/s
server.lan    uTorrent 1.7.6    100    56.3 kB/s
server.lan    uTorrent 1.7.3    100    2.2 kB/s

Dit houdt dus in dat mijn server het eigen IP toevoegt aan de pakketjes.

Dit is natuurlijk niet de bedoeling, de originele IP's moeten namelijk behouden worden.

Mijn firewall script :

code:

/etc/init.d/iptables restart
modprobe iptable_nat
modprobe ip_tables

INTF="eth0"
EX_IP="83.116.xxx.xxx"
TOM="192.168.1.66"
IPT="/sbin/iptables"
UTORRENT="49778"
LIMEWIRE="35098"

echo 1 > /proc/sys/net/ipv4/ip_forward

$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT

$IPT -t nat -A POSTROUTING -o $INTF -j SNAT --to $EX_IP

# uTorrent
$IPT -t nat -A PREROUTING -i $INTF -p udp --dport $UTORRENT -j DNAT --to $TOM
$IPT -t nat -A PREROUTING -i $INTF -p tcp --dport $UTORRENT -j DNAT --to $TOM

# sof2
$IPT -t nat -A PREROUTING -i $INTF -p udp --dport 20100 -j DNAT --to $TOM
$IPT -t nat -A PREROUTING -i $INTF -p tcp --dport 20100 -j DNAT --to $TOM

# limeWire
$IPT -t nat -A PREROUTING -i $INTF -p udp --dport $LIMEWIRE -j DNAT --to $TOM
$IPT -t nat -A PREROUTING -i $INTF -p tcp --dport $LIMEWIRE -j DNAT --to $TOM

iemand enig idee wat ik vergeet?

Tom

[TrailBlazer]

tot welk ip adres wordt server.lan geresolved.

[TvdW]

83.116.xxx.xxx
mijn gewone ip dus, wat ook het ip is dat de server aangeeft als ik met ifconfig kijk

[ Voor 75% gewijzigd door TvdW op 30-01-2008 20:09 . Reden: meer info ]

[TrailBlazer]

Dat is ook wel logisch je linux doosje doet gewoon nat naar je externe ip adres. Blijkbaar ziet bittorrent dat ook. Verder heb ik nog nooit een torrent programma gebruikt dus ik weet het verder ook niet.

[TvdW]

maar dat is dus niet de bedoeling, dat doet een normale router toch ook niet?

Tom

[TrailBlazer]

natuurlijk wel. Je interne ip adressen worden niet gerouteerd op het internet dus je zal wel moeten vertalen (NAT dus) naar een ip adres wat wel gerouteerd wordt over internet.

[TvdW]

dat bedoel ik niet, ik denk dat je me verkeerd snapt.

Alle inkomende verbindingen die via iptables gerouted worden krijgen het IP van mijn router.
Dat is toch niet normaal?

Stel: ik zou apache hebben draaien op mijn pc. Dan is het toch normaal dat ik het IP van de gebruiker te zien krijg met REMOTE_ADDR en niet het ip van mijn router?

Tom

[TrailBlazer]

Ok dus de remote peer lijkt je modem te zijn. Dan zijn je iptables inderderdaad niet helemaal lekker lijkt het. Doe eens iptables -nvL en iptables -nvL -t nat en geef dan aan welk interface extern en intern is.
edit:
Ik zie het denk ik al
Deze regel is raar volgens mij
$IPT -t nat -A POSTROUTING -o $INTF -j SNAT --to $EX_IP

$INTF is je interne interface?. Waarom zou je het source adres natten van een pakket wat vanaf het internet naar je lokale machine gaat.

edit hmm het is nog wat vreemder zie ik. Je hebt maar een NIC en je routeert over die ene nic. Kan allemaal wel alleen het wordt er wel wat ondoorzichtiger door.

[ Voor 53% gewijzigd door TrailBlazer op 31-01-2008 18:21 ]

[CyBeR]

Dit kan niet anders op het moment dat je de setup op deze manier in elkaar hebt zitten. Anders komen de reply-packets van jouw client doos namelijk niet op de goede plek uit. Je moet of forwarden vanaf je speedtouch, of het niet erg vinden dat je source addresses ook gewijzigd zijn. (Of je server tussen je speedtouch en je client inzetten zodat je client de server als router gebruikt.)

[TrailBlazer]

Persoonlijk zou ik inderdaad een 2e nic in server zetten. Het wordt dan allemaal veel logischer.

[TvdW]

CyBeR schreef op donderdag 31 januari 2008 @ 18:23:
Dit kan niet anders op het moment dat je de setup op deze manier in elkaar hebt zitten. Anders komen de reply-packets van jouw client doos namelijk niet op de goede plek uit. Je moet of forwarden vanaf je speedtouch, of het niet erg vinden dat je source addresses ook gewijzigd zijn. (Of je server tussen je speedtouch en je client inzetten zodat je client de server als router gebruikt.)

dat is juist het probleem, mijn speedtouch is nogal f*cked up en kán dat niet

[TrailBlazer]

Hoezo kan je speedtouch dat niet. Ik gebruik al jaren deze setup met een hacked speedtouch modem.

[CyBeR]

TrailBlazer schreef op vrijdag 01 februari 2008 @ 12:31:
Hoezo kan je speedtouch dat niet. Ik gebruik al jaren deze setup met een hacked speedtouch modem.

En je bent daar blij mee? Dat ding heeft een NAT tabel van maar liefst 256 entries maximaal...

TvdW schreef op vrijdag 01 februari 2008 @ 12:30:
[...]

dat is juist het probleem, mijn speedtouch is nogal f*cked up en kán dat niet

Dan moet je server ertussen, in plaats van ernaast.

[Bergen]

CyBeR schreef op vrijdag 01 februari 2008 @ 15:30:
[...]


En je bent daar blij mee? Dat ding heeft een NAT tabel van maar liefst 256 entries maximaal...

Heeft de gehackte versie niet meer entries? Of is er simpelweg niet meer geheugen beschikbaar?

[TrailBlazer]

de gehackte versie doet spoofing door gewoon blind alles door te sturen naar mijn linux machine. Echt een prima oplossing IMHO.

[TvdW]

TrailBlazer schreef op vrijdag 01 februari 2008 @ 17:01:
de gehackte versie doet spoofing door gewoon blind alles door te sturen naar mijn linux machine. Echt een prima oplossing IMHO.

zelfde bij mij, maar als ik dan via de NAT opties iets door wil sturen werkt het niet, dus daarom mijn iptables oplossing.

Tom

[TrailBlazer]

Je moet dan wel een paar hacks doen in je dhcp client config en je ifup statements om het goed te laten werken. Je moet forcen dat je externe interface een /32 subnetmasker krijgt en je default route anders zetten.