Re: [M] ódio ao NAT, yes F rwading de portas!!!
Em 09/07/07, Marcelo Castilho Manzano<manzano.marcelo@gmail.com> escreveu:
Gente atualmente como não tenho grandes conhecimentos de iptables olha como
está o conteúdo do meu arquivo /etc/init.d/firewall:
# libera POP
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
# libera SMTP
iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
# Ativa roteamento
echo 1 > /proc/sys/net/ipv4/ip_forward
# mascara saida dos pacotes
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
pra iniciar no boot da máquina coloquei o caminho /etc/init.d/firewall
dentro do arquivo: /etc/init.d/bootmisc.sh
porém a linha que ativa o roteamento pelo que sei, ela ativa o
NAT(compartilhamento da internet) e isso deixa as máquinas da rede acessar o
conteudo da internet se tirarem as configurações de proxy que eu coloco na
máquina..
sei que não preciso habilitar o NAT para liberar o acesso a POP3 e
SMTP(outlook) para os usuários da rede interna pareceme que isso é feito via
forwading de portas....
alguém sabe me dizer como é feito isso?????
--
|--------------------------------------------------|
| Marcelo Manzano |
| Cel.99603104 |
| manzano.marcelo@gmail.com |
|--------------------------------------------------|
Marcelo, aí é coisa simples, vamos lá:
O problema de os seus usuários conseguirem navegar sem proxy está nesta regra:
# mascara saida dos pacotes
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
Aqui vc está dizendo o seguinte para o seu firewall: "Empreste o seu
IP da ETH1 para qualquer pacote que tente sair, depois devolva ao
dono."
Se o seu objetivo for autorizar apenas o trafego de pop e smtp,
pré-supondo que o servidor que vc irá acessar está na internet através
de eth1 e as máquinas clientes, na rede interna através de eth0 a
regra seria assim:
#iptables -t nat -A POSTROUTING -i eth0 -o eth1 -s redeinterna/mascara
-p tcp -m multiport --dport 110,25 -j MASQUERADE
No lugar daquela outra regra que citei acima.
Se mesmo assim vc continuar encontrando problemas, escreve de novo que te ajudo.
Abraço,
Denis Anjos.
Reply to: