Re: Webserver und protforwarding
> hallo,
> wir sind in der schule dabei ne firewall und nen webserver aufzubauen,
> beide laufen mit woody. die internetverbindung wird über tdsl
realisiert
> also mit dynamischer ip. der zugriff auf den webserver erfolgt über
eine
> ..de adresse die auf eine dyndnsadresse verweist. nun möchten die leute
> aus dem selben netz über die .de adresse darauf zugreifen was aber aus
> dem lokalem netz nicht funktioniert.
> für das forwarding wird iptables benutzt
>
> iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to
> 192.168.100.1
>
> die 192.168.100.1 ist ein cisco router der das weiter forwardet.
>
>
> 172.16.0.0 netz in diesem netz befindet sich der webserver
> I
> I
> I
> 192.168.100.0 Netz transfernetz (router<->firewall)
> I
> I
> I
> Firewall
> I
> I
> I
> INternet
>
> wenn dire leute aus dem 172.16 netz einen öffentlichen proxy einstellen
> ist der zugriff über die .de adresse möglich. wie mache ich es nu damit
> der proxy nicht nötig ist und der zugriff über .de trotzdem möglich
ist?
>
>
> gruss marius
Hi Marius
Deine ausführungen sind nicht ganz durchsichtig. Die iptables chain ist
aber richtig. Du hast jedoch ein klassisches Routing-Problem.
geh mal ein deinen webserver und und versetze mal deine netzwerkkarte in
den promicuous mode (hier die erste karte) und lausche mal an port 80
tcpdump -i eth0 port 80 -n
schau mal ob überhaupt pakete ankommen wenn du die webseiten aufrufst.
wenn ja? wohin gehen die? ist deine Rückroute die Richtige, oder versucht
er das mit der default route aufzulösen?
route -n
schafft gewissheit
Aber aufgrund der Sicherheit, würde ich euch nicht dazu raten mit einigen
iptables regeln einen server von aussen zu erreichen. Der Webserver muss
in eine DMZ. sollte nämlich jemand diesen von aussen kompremittieren, so
hat er leichtes Spiel auf den Rest der Rechner zuzugreifen.Und das wäre
fatal, wenn die Lehrer PC's davon betroffen wären.
Wie Ihr mit relativ alter hardware eine DMZ zum laufen bekommt (100MHZ mit
16MB reichen) verrät auch das IPCOP projekt. Die Installation ist
kinderleicht und der bedienung lässt kaum wünsche offen. Und wenn Ihr
wollt könnt Ihr gleich den Cisco router und euren dsl router ersetzen
damit ersetzen.
gruss Jerome
Das aktuelle 1.4. release ist gerande erschienen
http://www.ipcop.org/
PS: bedenket: dieses ist nur ein Paketfilter. Intrusion Detection,
Vierenschutz etc. ist damit noch nicht effektiv abgedekt
Reply to: