Re: [Off topic]:Ayuda con iptables
Hola :))
El Martes, 26 agosto, 2003, a las 01:39 PM, Pere Castañer escribió:
Hola a todos.
Sé que no es debian subject pero si alguien de por qui puede echarme
un cable se lo agradecere enormemente.
Tengo habilitado ip forwarding con iptables en un ordenador con dos
ethernets delante de la LAN privada en una conexion con cable e IP
dinámica.
(Es el típico montage para tener más de dos ordenadores conectados con
una conexión de cable de Auna).
Esquema:
Internet---->Cablemodem---->LinuxRouter--->switch----->LAN
Tengo las siguientes reglas en un fichero de texto en /etc/init.d/
llamado reglas, que pasteo a continuación:
snip
iptables -A INPUT -i eth0 -p TCP --dport 4662 -m state --state NEW -j
ACCEPT
iptables -A INPUT -i eth0 -p UDP --dport 4662 -m state --state NEW -j
ACCEPT
iptables -A INPUT -i eth0 -p TCP --dport 80 -m state --state NEW -j
ACCEPT
iptables -A INPUT -i eth0 -p TCP --dport 22 -m state --state NEW -j
ACCEPT
Esto nos ha pasado a casi todos al usar el DNAT con iptables por
primera vez, en realidad el gancho de PREROUTING es independiente de
INPUT a nivel de filtrado ( las reglas de INPUT no afectan a PREROUTING
) y depende de FORWARD con lo que si quieres habilitar el DNAT tienes
que asociar reglas de FORWARD que permitan que las conexiones
"traducidas" atraviesen el PC.
#nat per mlnet, http, ssh, ftp.
iptables -t nat -A PREROUTING -i eth0 -p TCP --dport 4662 -j DNAT --to
192.168.0.2:4662
iptables -t nat -A PREROUTING -i eth0 -p UDP --dport 4662 -j DNAT --to
192.168.0.2:4662
iptables -t nat -A PREROUTING -i eth0 -p TCP --dport 22 -j DNAT --to
192.168.0.2:22
iptables -t nat -A PREROUTING -i eth0 -p TCP --dport 21 -j DNAT --to
192.168.0.2:21
iptables -t nat -A PREROUTING -i eth0 -p TCP --dport 20 -j DNAT --to
192.168.0.2:20
iptables -t nat -A PREROUTING -i eth0 -p TCP --dport 80 -j DNAT --to
192.168.0.2:80
#Acceptar connexions ja establertes
iptables -A INPUT -p TCP -m state --state RELATED -j ACCEPT
#Passant de la resta de paquets
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j DROP
Con lo que esta regla es la culpable de todas tus desgracias, si añades
por delante de ellas las reglas que tienes definidas en el gancho de
INPUT en este gancho de FORWARD te funcionará correctamente, eso si
recuerda que todo lo que sale por un interface necesita poder volver
por él.
-----------------------------------------------------------------------
PROBLEMA:
No consigo hacer el nat correctamente. El puerto 80 el 21 el ssh..etc
se me quedan en el linux router en vez de pasar al ordenador de la
LAN. Sabéis que hago mal?
Gracias y perdonad el Offtòpic.
un saludo
Victor
My will is strong but my won't is weak
Reply to: