[iptables] 1 nic, port forwarden?

[Haranaka]

Ik heb een vraagje of ik met 1 nic in mijn linux server ook een port kan forwarden naar een andere machine binnen het netwerk.
Ik wil namelijk af en toe remote inloggen op mijn werkstation (winxp) via poort 3389. Maar omdat ik die poort niet 24/7 open wil hebben wil ik dat ik eerst inlog via ssh op mijn linux bak om vervolgens die poort te forwarden zodat ik bezig kan. Als ik klaar ben gooi ik die poort weer dicht.

Vroeger was dit geen probleem omdat toen mijn server 2 nics had en dienst deed als router:

code:

~internet~ - [server] - [werkstation]

Nu heb ik een routertje aangeschaft:

code:

~internet~ - [router] - [werkstation]
                      \- [server]

Kan ik nu op de router poort 3389 doorsturen naar mijn server. En vervolgens de linux server die poort weer laten doorsturen naar mijn werkstation?

[Paul]

Als je de router met telnet of ssh kunt bereiken is het denk ik makkelijker om via de SSH verbinding met je server, een verbinding naar de router op te zetten en de port te forwarden

Met een beetje geluk kun je dat nog in een scriptje zetten ook, waardoor je alleen een ./rdp-forward.sh on of ./rdp-forward.sh off oid hoeft te doen

[igmar]

Haranaka schreef op 17 september 2004 @ 19:57:
Kan ik nu op de router poort 3389 doorsturen naar mijn server. En vervolgens de linux server die poort weer laten doorsturen naar mijn werkstation?

Met iptables niet, je zal een userspace applicatie moeten gebruiken.

[Haranaka]

Helaas kan ik vanaf mijn server niet de router veranderen, is webbased en moet lynx kom ik niet vergenoeg. Kan niet op de submit knop drukken nadat ik mijn wachtwoord heb ingevuld

Maar ik bedenk met wel dat ik nog wel 2 nicjes in de kast heb liggen en een crosskabeltje knippen en dan ben ik ook klaar...

[Buffy]

Haranaka schreef op 17 september 2004 @ 19:57:
[..]
Kan ik nu op de router poort 3389 doorsturen naar mijn server. En vervolgens de linux server die poort weer laten doorsturen naar mijn werkstation?

Volgens mij is dat geen probleem.

code:

iptables -t nat -A PREROUTING -s ! <netwerk-iprange> -d <server-ip> -p tcp \
   --dport 3389 -j DNAT --to-destination <workstation-ip>

met bv netwerk-iprange = 192.168.0.0/24

Afhankelijk van je router zul je misschien de verbinding ook moeten source-natten zodat de verbinding van je server afkomstig lijkt.
Dit omdat de workstation anders rechtstreeks via de router gaat terug communiceren waardoor de nat-tables (of firewall) van de router in de war raken.

Kwestie van proberen

code:

iptables -t nat -A POSTROUTING -s ! <netwerk-iprange> -d <workstation-ip> -p tcp   \
   --dport 3389 -j SNAT --to-source <server-ip>

En vergeet de FORWARD chain niet, die moet de redirect doorlaten.

[ Voor 13% gewijzigd door Buffy op 18-09-2004 20:21 . Reden: extra opties ]

[igmar]

Dawns_sister schreef op 18 september 2004 @ 15:50:
[...]

Volgens mij is dat geen probleem.
<snip>

edit:
Dit werkt dus wel, ik zag de DNAT's over het hoofd

[ Voor 36% gewijzigd door igmar op 18-09-2004 21:18 ]

[Paul]

igmar schreef op 18 september 2004 @ 17:30:
[...]


Dit werkt niet : Er is IP technisch geen sprake van routing, en dus zal het pakketje ook de chains niet traversen.

En als je 2 ip's aan die nic hangt, in 2 subnets? Moet je hetzelfde doen op de Windows-doos natuurlijk.
Afaik kan Linux (ook) routen over virtuele interfaces.

[Buffy]

igmar schreef op 18 september 2004 @ 17:30:
[...]


Dit werkt niet : Er is IP technisch geen sprake van routing, en dus zal het pakketje ook de chains niet traversen.

De PREROUTING chain van de nat tables wordt toch getraversed voor de routing? Nadat de destination ip is veranderd wordt het packet dan toch gewoon geforward, via de zelfde interface maar dat mag toch geen probleem zijn.

Zal het eens testen (meten is weten )

edit:
Het werkt

[ Voor 5% gewijzigd door Buffy op 18-09-2004 20:55 . Reden: domme typo :-) ]

[BoAC]

Grappig vandaag nog geraadpleegd:
Destination NAT Onto the Same Network

[igmar]

Paul Nieuwkamp schreef op 18 september 2004 @ 18:00:
En als je 2 ip's aan die nic hangt, in 2 subnets? Moet je hetzelfde doen op de Windows-doos natuurlijk.
Afaik kan Linux (ook) routen over virtuele interfaces.

Dat eerste heb ik nooit getest, wat betreft virtuele interfaces : Die gedragen zich niet anders als echte, dus wat dat betreft zie ik geen problemen.

[igmar]

Dawns_sister schreef op 18 september 2004 @ 18:44:
De PREROUTING chain van de nat tables wordt toch getraversed voor de routing? Nadat de destination ip is veranderd wordt het packet dan toch gewoon geforward, via de zelfde interface maar dat mag toch geen probleem zijn.

Zal het eens testen (meten is weten )

Als je adressen gaat veranderen zodat ze in een ander subnet zitten kan dat ja. Ik vind het zelf echter een vreselijk lelijke oplossing.

[MikeN]

Mis ik iets waardoor een simpele SSH tunnel/portforwarding niet mogelijk is? (Is niet de vraag, wel het makkelijkste antwoord, geen gekloot met iptables of wat dan ook)

[Haranaka]

Thanks MikeN voor de tip , ik heb het nu draaien over een ssh tunnel. Ik moet zeggen dat dit super werkt!

Om de search compleet te maken, hier een howto over remote desktop over een ssh tunnel:
http://www.engr.wisc.edu/computing/best/rdesktop-putty.html

Met deze aanvulling voor het gebruiken van RDP vanaf een XP machine (kan namelijk niet standaard connecten naar localhost)
http://www.linuxquestions...ostid=1103333#post1103333