форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы Информационная безопасность (Public)
Изначальное сообщение		[Проследить за развитием треда]

"iptables.не могу пробросить веб сервак из локалки наружу"
Сообщение от kpv on 17-Дек-03, 10:56  (MSK)
Во внутренней сети поставил веб сервер. Хочу показать его в интернете. Ходим всей локальной сетью через роутер сквозь проксю (squid+iptables). Я сам не очень хорошо пока работаю с линухом, потому воспользовался найденной в инете  докой по иптаблесу (рус дока). Там были описаны правила иптаблесу что для этого требуются. Я их завел. Тока сервера так и не видно в инете. Вот такая проблема. /iptables -F /iptables -A FORWARD -p tcp -s 0.0.0.0 -i eth1 --dport 3128 -j DROP /iptables -N POSTROUTING /iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source xx.xx.xx.xx /iptables -N PREROUTING /iptables -t nat -A PREROUTING -i eth0 -d ! 192.168.0.0 -p tcp --dport 80 -j REDIRECT --to-port 3128 /iptables -t nat -A PREROUTING -p tcp -d xx.xx.xx.xx --dport 80 -j DNAT --to-destination 192.168.0.27 /iptables -t nat -A PREROUTING -p tcp -d xx.xx.xx.xx --dport 8080 -j DNAT --to-destination 192.168.0.27 /iptables -A FORWARD -i eth1 -d 192.168.0.27 -p tcp --dport 80 -j ACCEPT /iptables -A FORWARD -i eth1 -d 192.168.0.27 -p tcp --dport 8080 -j ACCEPT /iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.27 --dport 8080 -j SNAT --to-source 192.168.0.23 =---------------------------------------------------------------------------- Где : eth0-internal lan eth1-external lan xx.xx.xx.xx внешний адрес роутера. 192.168.0.2 внутренний адрес роутера. 192.168.0.27 веб сервер что в локалке стоит (free bsd 5.1). на роутере крутится squid ssh iptables. на веб сервере apache mysql ftp Многоуважаемые камрады, подскажите где я что пропустил.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "iptables.не могу пробросить веб сервак из локалки наружу"
Сообщение от Xela on 17-Дек-03, 11:27  (MSK)
бррр... iptables -F iptables -P FORWARD DROP iptables -A FORWARD -p icmp -j ACCEPT iptables -A FORWARD -d int_web_ip -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -d int_web_ip -p udp --dport 80 -j ACCEPT iptables -A FORWARD -d int_web_ip -p tcp --dport 8080 -j ACCEPT iptables -A FORWARD -d int_web_ip -p udp --dport 8080 -j ACCEPT iptables -A FORWARD -s int_web_ip -j ACCEPT iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -t nat -A PREROUTING -s ext_web_ip -j DNAT --to-destination int_web_ip iptables -t nat -A POSTROUTING -s int_web_ip -j SNAT -to-source ext_web_ip iptables -t nat -A POSTROUTING -s int_net/mask -j SNAT -to-source ext_ip Это без прозрачного прокси.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от kpv on 17-Дек-03, 12:30  (MSK)
	Не помогло. Может у меня руки кривые. >бррр... >iptables -F >iptables -P FORWARD DROP >iptables -A FORWARD -p icmp -j ACCEPT >iptables -A FORWARD -d int_web_ip -p tcp --dport 80 -j ACCEPT >iptables -A FORWARD -d int_web_ip -p udp --dport 80 -j ACCEPT >iptables -A FORWARD -d int_web_ip -p tcp --dport 8080 -j ACCEPT >iptables -A FORWARD -d int_web_ip -p udp --dport 8080 -j ACCEPT >iptables -A FORWARD -s int_web_ip -j ACCEPT >iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT >iptables -t nat -A PREROUTING -s ext_web_ip -j DNAT --to-destination int_web_ip >iptables -t nat -A POSTROUTING -s int_web_ip -j SNAT -to-source ext_web_ip >iptables -t nat -A POSTROUTING -s int_net/mask -j SNAT -to-source ext_ip > >Это без прозрачного прокси.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 12:35  (MSK)
	В этой строчке я напутал, >>iptables -t nat -A PREROUTING -s ext_web_ip -j DNAT --to-destination int_web_ip должно быть так: iptables -t nat -A PREROUTING -d ext_web_ip -j DNAT --to-destination int_web_ip
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от kpv on 17-Дек-03, 12:55  (MSK)
	Блин и так не пускает. Может в асю? 101096906 >В этой строчке я напутал, > >>>iptables -t nat -A PREROUTING -s ext_web_ip -j DNAT --to-destination int_web_ip > >должно быть так: >iptables -t nat -A PREROUTING -d ext_web_ip -j DNAT --to-destination int_web_ip
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 13:05  (MSK)
	Покажи вывод iptables -n -L
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от kpv on 17-Дек-03, 13:17  (MSK)
	>Покажи вывод iptables -n -L Chain INPUT (policy ACCEPT) target     prot opt source               destination         Chain FORWARD (policy ACCEPT) target     prot opt source               destination         DROP       tcp  --  0.0.0.0              0.0.0.0/0          tcp dpt:3128 ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           ACCEPT     tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:80 ACCEPT     udp  --  0.0.0.0/0            192.168.0.27       udp dpt:80 ACCEPT     tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:8080 ACCEPT     udp  --  0.0.0.0/0            192.168.0.27       udp dpt:8080 ACCEPT     all  --  192.168.0.27         0.0.0.0/0           ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED Chain OUTPUT (policy ACCEPT) target     prot opt source               destination         Chain POSTROUTING (0 references) target     prot opt source               destination         Chain PREROUTING (0 references) target     prot opt source               destination
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	7. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 13:26  (MSK)
	И еще iptables -t nat -n -L
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от kpv on 17-Дек-03, 13:35  (MSK)
	>И еще iptables -t nat -n -L #########192.168.0.23 это адрес машины с локальной сети для проверки##### Chain PREROUTING (policy ACCEPT) target     prot opt source               destination         REDIRECT   tcp  --  0.0.0.0/0           !192.168.0.0        tcp dpt:80 redir ports 3128 DNAT       tcp  --  0.0.0.0/0            xx.xx.xx.xx       tcp dpt:80 to:192.168.0.27 DNAT       tcp  --  0.0.0.0/0            xx.xx.xx.xx       tcp dpt:8080 to:192.168.0.27 REDIRECT   tcp  --  0.0.0.0/0           !192.168.0.0        tcp dpt:80 redir ports 3128 DNAT       all  --  xx.xx.xx.xx         0.0.0.0/0          to:192.168.0.27 REDIRECT   tcp  --  0.0.0.0/0           !192.168.0.0        tcp dpt:80 redir ports 3128 DNAT       all  --  0.0.0.0/0            xx.xx.xx.xx       to:192.168.0.27 Chain POSTROUTING (policy ACCEPT) target     prot opt source               destination         SNAT       all  --  0.0.0.0/0            0.0.0.0/0          to:xx.xx.xx.xx SNAT       tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:80 to:192.168.0.23 SNAT       tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:8080 to:192.168.0.23 SNAT       all  --  0.0.0.0/0            0.0.0.0/0          to:xx.xx.xx.xx SNAT       all  --  192.168.0.27         0.0.0.0/0          to:xx.xx.xx.xx SNAT       all  --  192.168.0.0/24       0.0.0.0/0          to:xx.xx.xx.xx SNAT       all  --  0.0.0.0/0            0.0.0.0/0          to:xx.xx.xx.xx SNAT       all  --  192.168.0.27         0.0.0.0/0          to:xx.xx.xx.xx SNAT       all  --  192.168.0.0/24       0.0.0.0/0          to:xx.xx.xx.xx Chain OUTPUT (policy ACCEPT) target     prot opt source               destination
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 13:49  (MSK)
	Это правило заставит всех из интернета всесто 80 порта иддти на Сквид. ЗАЧЕМ????? REDIRECT   tcp  --  0.0.0.0/0           !192.168.0.0        tcp dpt:80 redir ports 3128 А это вообще все исходящие замаскирует адресом xx.xx.xx.xx SNAT       all  --  0.0.0.0/0            0.0.0.0/0          to:xx.xx.xx.xx SNAT       tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:80 to:192.168.0.23 SNAT       tcp  --  0.0.0.0/0            192.168.0.27       tcp dpt:8080 to:192.168.0.23 Здесь всемто 192.168.0.23 должен быть внешний адрес веб сервера? А грабли у тебя явно в первом правиле.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	10. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 13:51  (MSK)
	>SNAT       tcp  --  0.0.0.0/0 >           >192.168.0.27       tcp dpt:80 to:192.168.0.23 >SNAT       tcp  --  0.0.0.0/0 >           >192.168.0.27       tcp dpt:8080 to:192.168.0.23 > >Здесь всемто 192.168.0.23 должен быть внешний адрес веб сервера? > >А грабли у тебя явно в первом правиле. Так. Это не в тему.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	11. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от Xela on 17-Дек-03, 14:13  (MSK)
	Сбрось все правила и выполни вот это. Так должно работать. После этого можешь добавлять своии правила. iptables -F iptables -F -t nat iptables -X iptables -X -t nat iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p tcp --dport 80 -j DNAT --to-destination 192.168.0.27 iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p udp --dport 80 -j DNAT --to-destination 192.168.0.27 iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p tcp --dport 8080 -j DNAT --to-destination 192.168.0.27 iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p udp --dport 8080 -j DNAT --to-destination 192.168.0.27 iptables -t nat -A POSTROUTING -s 192.168.0.27 -p tcp --sport 80 -j SNAT --to-source xx.xx.xx.xx iptables -t nat -A POSTROUTING -s 192.168.0.27 -p udp --sport 80 -j SNAT --to-source xx.xx.xx.xx iptables -t nat -A POSTROUTING -s 192.168.0.27 -p tcp --sport 8080 -j SNAT --to-source xx.xx.xx.xx iptables -t nat -A POSTROUTING -s 192.168.0.27 -p udp --sport 8080 -j SNAT --to-source xx.xx.xx.xx iptables -P FORWARD ACCEPT
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	12. "iptables.не могу пробросить веб сервак из локалки наружу"
	Сообщение от kpv on 17-Дек-03, 15:03  (MSK)
	Вот так пишу и тоже ни фига. ####################################### ./iptables -F ./iptables -F -t nat ./iptables -X ./iptables -X -t nat ./iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p tcp --dport 80 -j DNAT --to-destination 192.168.0.27 ./iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p udp --dport 80 -j DNAT --to-destination 192.168.0.27 ./iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p tcp --dport 8080 -j DNAT --to-destination 192.168.0.27 ./iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p udp --dport 8080 -j DNAT --to-destination 192.168.0.27 ./iptables -t nat -A POSTROUTING -s 192.168.0.27 -p tcp --sport 80 -j SNAT --to-source xx.xx.xx.xx ./iptables -t nat -A POSTROUTING -s 192.168.0.27 -p udp --sport 80 -j SNAT --to-source xx.xx.xx.xx ./iptables -t nat -A POSTROUTING -s 192.168.0.27 -p tcp --sport 8080 -j SNAT --to-source xx.xx.xx.xx ./iptables -t nat -A POSTROUTING -s 192.168.0.27 -p udp --sport 8080 -j SNAT --to-source xx.xx.xx.xx ./iptables -P FORWARD ACCEPT ./iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source xx.xx.xx.xx ./iptables -t nat -A PREROUTING -i eth0 -d ! 192.168.0.0 -p tcp --dport 80 -j REDIRECT --to-port 3128 ./iptables -t nat -A PREROUTING -i eth0 -d ! 192.168.0.0 -p tcp --dport 8080 -j REDIRECT --to-port 3128 #################################
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.