Re: [M] ódio ao NAT, yes Frwading de portas!!!

[Miguel Da Silva - Centro de Matemática <mdasilva@fing.edu.uy>]

Marcelo Castilho Manzano escribió:
> Gente atualmente como não tenho grandes conhecimentos de iptables olha 
> como está o conteúdo do meu arquivo /etc/init.d/firewall:
> # libera POP
> iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
>
> # libera SMTP
> iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
>
> # Ativa roteamento
> echo 1 > /proc/sys/net/ipv4/ip_forward
>
> # mascara saida dos pacotes
> iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
> pra iniciar no boot da máquina coloquei  o caminho /etc/init.d/firewall 
> dentro do arquivo: /etc/init.d/bootmisc.sh
>
> porém a linha que ativa o roteamento pelo que sei, ela ativa o 
> NAT(compartilhamento da internet) e isso deixa as máquinas da rede 
> acessar o conteudo da internet se tirarem as configurações de proxy que 
> eu coloco na máquina..
>
> sei que não preciso habilitar o NAT para liberar o acesso a POP3 e 
> SMTP(outlook) para os usuários da rede interna pareceme que isso é feito 
> via forwading de portas....
> alguém sabe me dizer como é feito isso?????
>
>
>
> --
> |--------------------------------------------------|
> |    Marcelo Manzano                    |
> |    Cel.99603104                          |
> |     manzano.marcelo@gmail.com <mailto:manzano.marcelo@gmail.com>  |
> |--------------------------------------------------|

Para evitar que naveguem pela internet sem usar o proxy você pode criar 
um proxy transparente.

E sobre NAT... a linha "echo 1 > ..." diz ao sistema que ele estará 
habilitado a fazer forward de datagramas IP. Mas, por outro, o sistema 
deve estar configurado para que isso seja possível. Ou seja, só com essa 
linha você não libera o acesso a internet paras outras máquinas. 
Faltaria configurar o iptables para que o sistema soubesse como fazer 
corretamente o forward.

E sobre o acesso a POP3 e SMTP... pelo o que entendí você quer liberar o 
acesso a conexões POP3 e SMTP para PCs que estão atrás do 
firewall/roteador. Ou seja, esses PCs que estão na sua rede, acessarão 
servidores POP3 e SMTP que estão fora da rede.

Você realmente não quer usar NAT? É a solução fácil, bonita e barata. 
Bem, é a minha sugestão. Há um manual de iptables muito bom na internet 
cujo autor se chama Oskar alguma-coisa. Vale a pena lê-lo.

Boa sorte.

--
Miguel Da Silva
Administrador de Red
Centro de Matemática - http://www.cmat.edu.uy
Facultad de Ciencias - http://www.fcien.edu.uy
Universidad de la República - http://www.rau.edu.uy