[Debian Portforward] 2 Nic's

[menn0]

ik heb veel manuals en regels toegepast maar het lukt me maar niet de volgende situatie op te lossen;

ik heb 1 kabel modem, daarna 1 wifi router. dan heb ik op zolder 1 linux server/gateway.

Op zolder connect mijn Vista Laptop wired, op eth0 op de linux server, die via ath0 (wifi) het
internet doorgeeft van ath0 naar eth0. ath0 zit op 192.168.1.* en mijn vista laptop en eth0 zijn
verbonden via 10.0.0.* Werkt allemaal perfect.

Nou wil ik poort 50925 geforward hebben naar mijn Vista laptop.
Stap 1 is poort 50925 bij ath0 krijgen natuurlijk, dus die forward zet ik in mijn router.
(omdat dat ook met SSH & ftp gebeurd weet ik dat dit werkt). Dus poort 50925 komt aan op ath0.

Nu moet er dus van de server/gateway 192.168.1.102 poort 50925 worden doorgegeven aar NIC eth0, naar adres 10.0.0.11. (Server zelf op die nic heeft 10.0.0.1).

De regels die ik geprobeer dheb tot nu toe;

iptables -A PREROUTING -t nat -i ath0 -p tcp --dport 50925 -j DNAT --to 10.0.0.11:50925
iptables -A INPUT -p tcp -m state --state NEW --dport 50925 -i ath0 -j ACCEPT


iptables -t nat -A PREROUTING -i ath0 -p tcp -d 50925 -j DNAT --to 10.0.0.11:50925
iptables -A FORWARD -i ath0 -o eth0 -p tcp -d 50925 -j ACCEPT
iptables -t nat -A POSTROUTING -o ath0 -j SNAT --to-source 10.0.0.11


Hoe doe ik nou een makkelijke poort forward van de server naar mijn laptop?

internet ->router->192.168.1.102 (wifi ath0 server) -> 10.0.0.1 (eth0 op server) ->10.0.0.11 (nic op vista) ??

[deadinspace]

En hoe ziet je firewall er uit (voordat je die portforwards probeerde)?

[menn0]

ik heb niet een heel firewall script erin staan maar mijn iptables --list geeft;

(dit is na ingevoerde regels hierboven (zie ze niet terugkomen??)

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
LOG all -- 127.0.0.0/8 anywhere LOG level warning
DROP all -- 127.0.0.0/8 anywhere
ACCEPT all -- anywhere 255.255.255.255
ACCEPT all -- 10.0.0.0/24 anywhere
ACCEPT !tcp -- anywhere 224.0.0.0/4
LOG all -- 10.0.0.0/24 anywhere LOG level warning
DROP all -- 10.0.0.0/24 anywhere
ACCEPT all -- anywhere 255.255.255.255
ACCEPT all -- anywhere 192.168.1.102
ACCEPT all -- anywhere 192.168.1.255
LOG all -- anywhere anywhere LOG level warning
DROP all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:50925

Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT all -- 10.0.0.0/24 anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
LOG all -- anywhere 10.0.0.0/24 LOG level warning
DROP all -- anywhere 10.0.0.0/24
LOG all -- anywhere anywhere LOG level warning
DROP all -- anywhere anywhere
ACCEPT tcp -- anywhere 0.0.198.237

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere 255.255.255.255
ACCEPT all -- anywhere 10.0.0.0/24
ACCEPT !tcp -- anywhere 224.0.0.0/4
LOG all -- anywhere 10.0.0.0/24 LOG level warning
DROP all -- anywhere 10.0.0.0/24
ACCEPT all -- anywhere 255.255.255.255
ACCEPT all -- 192.168.1.102 anywhere
ACCEPT all -- 192.168.1.255 anywhere
LOG all -- anywhere anywhere LOG level warning
DROP all -- anywhere anywhere

[deadinspace]

Gebruik eens [cmd] en/of [code] tags, want dit is niet echt leesbaar

menn0 schreef op zondag 03 augustus 2008 @ 22:10:
ik heb niet een heel firewall script erin staan

Hoe kom je dan aan je huidige iptables rules?

(dit is na ingevoerde regels hierboven (zie ze niet terugkomen??)

Ik zie ze wel. Eentje onderaan je INPUT chain en eentje onderaan je FORWARD chain.

De overige drie zitten in de nat table, dus die krijg je inderdaad niet te zien, tenzij je -t nat gebruikt.

Behalve nog wat andere dingen is één probleem in ieder geval heel duidelijk. Kijk eens naar de je eigen regels in de INPUT en FORWARD chain (de onderste regels van respectievelijke chains dus), en dan na de eerste regel direct erboven in beide chains...

[menn0]

OK ik moet die DROP regels eruithalen,
zou het dan moeten werken?
zijn in beginsel mijn toegevoegde regels juist?
En kan ik ze het beste wel of niet aan de NAT tabel toevoegen?

Hoe kan ik het gemakkelijkste het gewenste resultaat behalen?
Eerst weer alles flushen?

Nat tables;

code:

pimp-ass-server:~# iptables -t nat -n -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:50925 to:10.0.0.11:50925
DNAT       tcp  --  0.0.0.0/0            0.0.198.237         to:10.0.0.11:50925

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  10.0.0.0/24          0.0.0.0/0
SNAT       all  --  0.0.0.0/0            0.0.0.0/0           to:10.0.0.11

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

[ Voor 54% gewijzigd door menn0 op 05-08-2008 00:35 ]

[menn0]

Iemand nog een suggestie?

[Sprite_tm]

Waarom bridge je ath0 en eth0 niet gewoon? Ben je meteen van het dubbele-NAT-verhaal af.

[daft_dutch]

Sprite_tm schreef op donderdag 07 augustus 2008 @ 00:08:
Waarom bridge je ath0 en eth0 niet gewoon? Ben je meteen van het dubbele-NAT-verhaal af.

code:

apt-get install bridge-utils

code:

auto br0
iface br0 inet dhcp
bridge_ports eth1 eth2
bridge_stp off
bridge_maxwait 5

[menn0]

ik krijg dan behoorlijk wat loss in de packets,
ik heb een wireless nick nog niet goed gebridged gekregen met een ethernet nic.

ik probeer bovenstaande nogmaals
// edit
via mijn ethernet op de laptop krijg ik geen ip adres aangeboden door de bridge op mijn linux machine.

laptop --->eth0 ---- ath0 ---> router

eth0 ath0 is nu een br0 met 192.168.1.3
maar in interfaces staat eth0 nog met een ip adres van 10.0.0.1
is dat misschien niet goed hier?
ik kan wel bedraad br0 bereiken onder 192.168.1.3 (als ik handmatig 192.168.1.5 op laptop instel)
maar 192.168.1.1 is onbreikbaar. (of ik nou *.1.3 of *.1.1 als gateway in de laptop zet)


Er is nog iets raars aan de hand;

Als ik even wireless van mijn laptop -> router -> naar linuxbak ga, met een SSH login
dan kan ik (opzich uiteraard) weer makkelijk via die ssh sessie terug pingen naar 192.168.1.1 oftwel de router.

Ga ik bedraad een SSH sessie aan met de server bak, dan kan ik niet via een SSH sessie OP de linuxbak pingen aaar 192.168.1.1

Zitten nogal wat fouten in de routering dus.

[ Voor 95% gewijzigd door menn0 op 14-08-2008 22:14 ]

[menn0]

Als ik via wireless naar de server (linux) ssh, en dan mijn laptops ethernet NIC probeer te pingen krijg ik de volgende output

code:

PING 192.168.1.5 (192.168.1.5) 56(84) bytes of data.
From 192.168.1.1 icmp_seq=1 Destination Host Unreachable
From 192.168.1.1 icmp_seq=2 Destination Host Unreachable
From 192.168.1.1 icmp_seq=3 Destination Host Unreachable
64 bytes from 192.168.1.5: icmp_seq=6 ttl=128 time=1.71 ms
From 192.168.1.1 icmp_seq=4 Destination Host Unreachable
From 192.168.1.1 icmp_seq=5 Destination Host Unreachable
From 192.168.1.1 icmp_seq=7 Destination Host Unreachable
From 192.168.1.1 icmp_seq=8 Destination Host Unreachable
From 192.168.1.1 icmp_seq=9 Destination Host Unreachable
From 192.168.1.1 icmp_seq=10 Destination Host Unreachable
From 192.168.1.1 icmp_seq=11 Destination Host Unreachable
From 192.168.1.1 icmp_seq=12 Destination Host Unreachable

The bridge werkt opzich dus wel, maar wat moet ik nu aan iptables doen, en hoe krijg ik dhcp werkend op mijn laptops wired NIC?

[daft_dutch]

maar in interfaces staat eth0 nog met een ip adres van 10.0.0.1

iface eth0 inet * moet geen static of auto hebben

zo gaat die zeker niets doen

code:

iface eth0 inet manual

[menn0]

Mijn interfaces ziet er nu zo uit;

code:

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
# Wireless Interface
auto ath0
iface ath0 inet dhcp
wireless_key restricted s:**********
wireless-essid Bewarned
wireless-mode Managed

auto eth0
iface eth0 inet manual


auto br0
iface br0 inet dhcp
bridge_ports ath0 eth0
bridge_stp off
bridge_maxwait 5
gateway 192.168.1.1

op mijn laptop stel ik een vast ip adres in op mijn wired NIC, want DHCP doorgeven gebeurd sowieso niet. Maar dan kan ik wel bij de server komen op 192.168.1.3, maar ik heb dan geen route naar de router op 192.168.1.1.

Komt dit door ontbreken van iptables of iets dergelijks? Bij bridgen zou dit toch automatisch moeten gaan. Eigenlijk zou ik automatisch een ip moeten krijgen van mijn router, via DHCP.

IIg zover bedankt voor de tips, oplossing dichtbij maar ben er nog niet helemaal

[menn0]

*schopje