1 Temat przez jacgl

  • jacgl
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-11-21
  • Posty: 57

Temat: dodatkowe reflection w firewall

Poszukuję zgrabnego rozwiązania następującego zagadnienia w firewall…
Otóż jest przekierowanie portu, np. do serwera www w sieci wewnętrznej. Przy zaznaczeniu opcji "Enable NAT Loopback" również z sieci wewnętrznej jest do serwera www wygodny dostęp "po nazwie". Skutkuje to regułami DNAT+SNAT w firewall'u (reflection).
ALE… teraz wariant "advanced" -są 2 sieci wewnętrzne, np. dochodzi sieć dla gości. "Enable NAT Loopback" dodaje reflection tylko dla tej sieci w której jest serwer www. Jak zapisać reguły w pliku config/firewall dla tej drugiej sieci, w dodatku w przypadku gdy publiczne IP jest zmienne?
W tej chwili posiłkuję się regułami w firewall.user, ale może kombinuję jak koń pod górkę?

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d $(ifconfig eth0.2|grep 'inet addr:'|cut -d: -f2|awk '{print $1}') -p tcp --dport 8080 -j DNAT --to 172.16.0.200
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -d 172.16.0.200 --dport 8080 -j SNAT --to 172.16.0.1

SNAT niby można zapisać w uci/firewall, ale taki DNAT?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,890

Odp: dodatkowe reflection w firewall

Dla każdego redirecta masz możliwość włączenia reflection i reflection_src. Więc po prostu dodaj opcję? To że luci tego nie widzisz oznacza tylko tyle że masz nie używać luci i zrobić to z konsoli.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez jacgl

  • jacgl
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-11-21
  • Posty: 57

Odp: dodatkowe reflection w firewall

Nadal nie widzę w czym ma pomóc reflection_src? (nawiasem mówiąc jest w Luci też)
Jedyna różnica jest taka, że w SNAT pojawia się adres WAN podstawiony pod source. Reflection pozostaje słuszne ciągle dla jednej wybranej podsieci wewnętrznej do której należy serwer (załóżmy że to WWW).
To nie wystarcza, żeby przekierować ruch z innej podsieci, nawet gdyby dopisać tylko DNAT.
Poza tym zgodnie z dokumentacją trzeba wszędzie jawnie podawać adresy, przy zmiennym IP na wan raczej słabo. Coś przeoczyłem?