NAT+iptables (policy forward op ACCEPT??)

[asusk7m550]

Ik probeer mijn firewall aan de praat te krijgen.
Ik gebruikte altijd het vertrouwde ipchains, maar ik ben maar eens overgestapt op iptables, omdat ik een herinstallatie moest doen.

Maar nu vind ik dat mijn masquerade niet lekker werkt.
Ik kan alleen maar masquearden als ik de policy van forward op ACCEPT zet.

Het ziet er als volgt uit:

code:

iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE

Is er ook een andere manier om het te doen?

[JF_]

Zelf gebruik ik '-j SNAT --to $extip' omdat ik een fixed IP heb, maar dat zou verder niet uitmaken.
Maar zoals je zegt, je moet ook in je FORWARD chain nog wat doen... Policy ACCEPT werkt heel aardig, maar is wel erg 'wide open'. Een stuk veiliger lijkt me:
iptables -A FORWARD -i $intif -o $extif -j ACCEPT
iptables -A FORWARD -i $extif -o $intif -m state --state ESTABLISHED, RELATED -j ACCEPT
(oftewel alles mag van binnen naar buiten, maar van buiten naar binnen mogen alleen pakketjes die bij een bestaande verbinding horen).
Overigens staat dit allemaal keurig in de betreffende howtos.

[Blubber]

Heb je wel ipforwarding aanstaan?

echo 1 > /proc/sys/net/ipv4/ip_forward

[Jelmer]

Blubber schreef op 06 augustus 2002 @ 22:51:
Heb je wel ipforwarding aanstaan?

echo 1 > /proc/sys/net/ipv4/ip_forward

Heeft ie anders zou het ook niet werken als ie FORWARD op ACCEPT zet
Verder kan ik me alleen maar bij JF_ aansluiten.

[asusk7m550]

JF_ schreef op 06 augustus 2002 @ 22:48:
iptables -A FORWARD -i $intif -o $extif -j ACCEPT
iptables -A FORWARD -i $extif -o $intif -m state --state ESTABLISHED, RELATED -j ACCEPT

Mijn dank is groot, het werkt.

Maar dat je het open zet, is dat nu wel veilig?

[Verwijderd]

asusk7m550 schreef op 07 augustus 2002 @ 00:37:
[...]
Mijn dank is groot, het werkt.

Maar dat je het open zet, is dat nu wel veilig?

Veilig is een relatief begrip.

Er staat dat alle verkeer dat vanaf je interne netwerk binnenkomt op je nat-box door mag gaan naar internet en dat alle response verkeer daarop terug mag komen.

Overigens is het nogal logisch dat het nu pas werkt, aangezien verkeer in de POSTROUTING chain sowieso de FORWARD chain aandoet