1 Temat przez bhrt

  • bhrt
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-03-05
  • Posty: 9

Temat: iptables - Przekierowanie portów na router.

Cześć,

Zaczynam zabawę w iptables i mam pytanie:

Skonfigurowałem własny firewall zgodnie z opisem jaki przygotował Cezary http://eko.one.pl/?p=openwrt-customfirewall
I pojawił się problem smile

Mam kilka komputerów w sieci. Na jednym mam serwer www (192.168.1.2:8080) do którego przekierowałem port zgodnie z poleceniem
$IPT -t nat -A PREROUTING -i ${WAN} -p tcp --dport 12345 -j DNAT --to-destination 192.168.1.2:8080
Więc jest on dostępny z zewnątrz na porcie 12345. I wszystko ładnie działa.

Na routerze mam jeszcze jeden serwer www odpalony na porcie 192.168.1.1:8081.
Stosując polecenie
$IPT -t nat -A PREROUTING -i ${WAN} -p tcp --dport 23456 -j DNAT --to-destination 192.168.1.1:8081
I tu przekierowanie nie działa. Serwer nie jest dostępny na porcie 23456.
Dopiero po odblokowaniu portu 8081
$IPT -A INPUT -i ${WAN} -p tcp --dport 8081  -j ACCEPT
mam dostęp do serwera poprzez port 23456, jednak port 8081 jest również otwarty czego chciałbym uniknąć.

Możecie mi wyjaśnić dlaczego?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

192.168.1.1 to adres routera na którym masz własny firewall?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez bhrt

  • bhrt
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-03-05
  • Posty: 9

Odp: iptables - Przekierowanie portów na router.

Tak,

sry nie sprecyzowałem.

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

To zrób redirect jak to jest lokalnie:

iptables -t nat -A PREROUTING -p tcp --dport 23456 -j REDIRECT --to-ports 8081

itd.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez bhrt

  • bhrt
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-03-05
  • Posty: 9

Odp: iptables - Przekierowanie portów na router.

Po 1 dzięki za szybką odpowiedź smile
I teraz...
Tak dla "potomnych" aby opcja --to-ports zadziałała na naszym routerku musimy doinstalować pakiet iptables-mod-nat-extra . Bez tego modułu dostaniemy komunikat

iptables v1.4.6: unknown option `--to-ports'
Try `iptables -h' or 'iptables --help' for more information.

Zmieniłem regółę z DNAT na REDIRECT dla mojego firewalla ale zachowuje się dokładnie tak jak poprzednio.

Mam aktualnie takie dodatkowe reguły:

      $IPT -A INPUT -i ${WAN} -p tcp --dport 23456 -j ACCEPT
#      $IPT -A INPUT -i ${WAN} -p tcp --dport 8081 -j ACCEPT
      $IPT -t nat -A PREROUTING -p tcp --dport 23456 -j REDIRECT --to-ports 8081

i przy próbie dostępu z zewnątrz na port 23456 pakiety nie są przekierowywane.
Jak zdejmę komentarz i odblokuje port 8081 to mam dostęp do serwera i z portu 8081 co jest dość oczywiste (ale niepożądane), ale również z portu 23456.

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

Odblokuj 8081 na ... lan

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez bhrt

  • bhrt
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2013-03-05
  • Posty: 9

Odp: iptables - Przekierowanie portów na router.

Cezary,

w ten sposób?

LAN=$(uci get network.lan.ifname)
$IPT -A INPUT -i ${LAN} -p tcp --dport 8081 -j ACCEPT

Od rana kombinuje i nie wiem jak to sklecić.

Bo powyższa reguła i tak nie działa hmm

8 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Proszę o sprawdzenie i poradzenie gdzie popełniam błąd sad

Założenie:
Na routerze mam nasłuchującą usługę na porcie 3333 i chcę, aby z zewnętrznego IP i tylko z tego (1.2.3.4) można było połączyć się z serwerem poprzez port 5555. W iptables oczywiście port odblokowany, ale nie radzę sobie z jego przekierowaniem

iptables -t nat -A PREROUTING -i eth0 -s 1.2.3.4 -p tcp --dport 5555 -j REDIRECT --to-port 3333

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

-I nie -A jak to na standardowym firewallu z openwrt jest.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Czy ta regułą powinna być wyświetlana w iptables --list, bo jej nie widzę po restarcie firewalla no i też nie działa sad

11 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

Nie. Jak zrestartujesz router/firewalla to jej nie będzie, bo przecież nie zapisałeś tego. Do /etc/firewall.user sobie dodaj.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

12 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

No właśnie tu ją mam /etc/firewall.user dlatego szukam przyczyny niedziałania

13 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

Niech zgadnę - w /etc/config/firewall, przy wywołaniu firewall.user nie masz option reload 1, prawda?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

14 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Nieprawda reszta reguł z firewall.user działa
config include
    option path '/etc/firewall.user'
    option reload '1'

15 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

To masz byka w regule skoro reszta działa...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

16 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Restart firewalla nie krzyczy że jest błąd sad
Tutaj zmienione IP i porty reszta jest dokładnie ta sama więc gdzie błąd?
iptables -t nat -I PREROUTING -i etho -s 1.2.3.4 -p tcp --dport 5555 -j REDIRECT --to-port 3333

17 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

etho -> eth0 jak już.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

18 Odpowiedź przez migos

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Niestety to nie to, więc co jeszcze można zrobić, aby osiągnąć zmierzony cel?
Fakt źle wpisałem (to akt małej desperacji smile )

19 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

Wykonaj ręcznie /etc/firewall.user i zobaczy czy masz wszystkie reguły które chcesz.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

20 Odpowiedź przez migos (edytowany przez migos 2014-03-17 13:49:37)

  • migos
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-11-19
  • Posty: 196

Odp: iptables - Przekierowanie portów na router.

Dzięki smile
Dla potomnych powinno być tak
iptables -t nat -A PREROUTING -s 1.2.3.4 -p tcp --dport 5555 -j REDIRECT --to-port 3333

P.S.
Cezary, czy byłaby możliwość (sens) umieścić na głównej kilka takich różnych nietypowych przykładów iptables, bo  przeglądając nie jedno forum, zauważyłem że dla "czytających inaczej" i mało doświadczonych, firewall sprawia dużo niejasności

21 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: iptables - Przekierowanie portów na router.

Na sieci jest duuuużo opisów iptables. Nie wiem czy jest sens powielać kolejne tego typu sprawy.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona