Решено: RDP через adsl модем и Linux шлюз

[dfxi]

Помогите пожалуйста.
Нужно подключиться к компу в локальной сети из интернета по rdp.
инет -- ADSL -- линь -- остальная сеть.
Соединение поднимает adsl-модем настроенный роутером, между ним и локалкой стоит debian c iptables.
ip модема =192.168.3.1
#debian
EXIT_IF="eth0"
LAN_IF="eth1"
EXIT_IP="192.168.3.2"
LAN_IP="192.168.0.1"
#Комп с RDP
RDP_IP="192.168.0.177"

Какие правила нужно задать в iptables чтобы устанавливалось соединение.
На модеме пробрасываю порт на 192.168.3.2
в iptables задаю правило
$IPTABLES -t nat -D PREROUTING -d $EXT_IP -p tcp --dport $RDP_IP -j DNAT --to-destination $RDP_IP:$RDP_PORT
Не работает
так тоже
$IPTABLES -t nat -I PREROUTING --dst $EXT_IF -p tcp --dport $RDP_PORT -j DNAT --to-destination $RDP_IP:$RDP_PORT
$IPTABLES -t nat -I POSTROUTING -p tcp --dst $RDP_IP --dport $RDP_PORT -j SNAT --to-source $EXT_IP
$IPTABLES -I FORWARD -i $EXT_IF --dst $RDP_IP -j ACCEPT
Подскажите что делаю не так?

[skor]

Помогите пожалуйста.
Нужно подключиться к компу в локальной сети из интернета по rdp.
инет -- ADSL -- линь -- остальная сеть.
Соединение поднимает adsl-модем настроенный роутером

На модеме порты проброшены?

$IPTABLES -t nat -D PREROUTING -d $EXT_IP -p tcp --dport $RDP_IP -j DNAT --to-destination $RDP_IP:$RDP_PORT

--dport $RDP_PORT ?
Роутинг вообще включен?
cat /proc/sys/net/ipv4/ip_forward

[dfxi]

Извиняюсь
$IPTABLES -t nat -D PREROUTING -d $EXT_IP -p tcp --dport $RDP_PORT -j DNAT --to-destination $RDP_IP:$RDP_PORT

Проброс порта 3389 в модеме сделан на 192.168.3.2


cat /proc/sys/net/ipv4/ip_forward
1


IP_FORWARD_FILE="/proc/sys/net/ipv4/ip_forward"
echo "1" > $IP_FORWARD_FILE

[skor]

iptables-save

tcpdump -i eth0 -n port 3389
посмотреть приходят ли вообще на линукс пакеты
потом
tcpdump -i eth1 -n port 3389
смотреть уходят ли от него
и с какими адресами...

[pelmen]

$IPTABLES -t nat -D PREROUTING -d $EXT_IP -p tcp --dport $RDP_IP -j DNAT --to-destination $RDP_IP:$RDP_PORT

А разве не -A PREROUTING ?

[dfxi]

tcpdump -i eth0 -n port 3389
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
12:25:37.133824 IP 95.37.195.193.2420 > 192.168.3.2.3389: S 1176779908:1176779908(0) win 65535 <mss 1452,nop,nop,sackOK>
12:25:40.214755 IP 95.37.195.193.2420 > 192.168.3.2.3389: S 1176779908:1176779908(0) win 65535 <mss 1452,nop,nop,sackOK>
12:25:46.205114 IP 95.37.195.193.2420 > 192.168.3.2.3389: S 1176779908:1176779908(0) win 65535 <mss 1452,nop,nop,sackOK>
3 packets captured
3 packets received by filter
0 packets dropped by kernel



tcpdump -i eth1 -n port 3389
sudo tcpdump -i eth1 -n port 3389
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel


iptables-save

Код: Выделить всё

# Generated by iptables-save v1.4.2 on Tue Jan 19 12:39:41 2010
*mangle
:PREROUTING ACCEPT [1196:169485]
:INPUT ACCEPT [1124:165355]
:FORWARD ACCEPT [69:4018]
:OUTPUT ACCEPT [1167:163306]
:POSTROUTING ACCEPT [1169:163584]
-A PREROUTING -i eth0 -j TTL --ttl-set 64
COMMIT
# Completed on Tue Jan 19 12:39:41 2010
# Generated by iptables-save v1.4.2 on Tue Jan 19 12:39:41 2010
*nat
:PREROUTING ACCEPT [215:17589]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [15:932]
-A PREROUTING -s 192.168.0.0/24 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports                                                                              3128
-A PREROUTING -d 192.168.3.2/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destinat                                                                             ion 192.168.0.177:3389
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source 192.168.3.2
-A POSTROUTING -o eth0 -j SNAT --to-source 192.168.3.2
COMMIT
# Completed on Tue Jan 19 12:39:41 2010
# Generated by iptables-save v1.4.2 on Tue Jan 19 12:39:41 2010
*filter
:INPUT DROP [138:13392]
:FORWARD DROP [67:3740]
:OUTPUT DROP [0:0]
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j                                                                              DROP
-A INPUT -d 192.168.3.2/32 -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A INPUT -s 192.168.0.0/24 -d 192.168.0.1/32 -p tcp -m multiport --dports 22,312                                                                             8 -j ACCEPT
-A INPUT -d 192.168.3.2/32 -p tcp -m tcp --dport 1024:65535 -m state --state REL                                                                             ATED,ESTABLISHED -j ACCEPT
-A INPUT -s 213.177.96.1/32 -p udp -m state --state ESTABLISHED -m udp --sport 5                                                                             3 -j ACCEPT
-A INPUT -s 213.177.96.1/32 -p tcp -m tcp --sport 53 --dport 1024:65535 -m state                                                                              --state ESTABLISHED -j ACCEPT
-A INPUT -s 213.177.97.1/32 -p udp -m state --state ESTABLISHED -m udp --sport 5                                                                             3 -j ACCEPT
-A INPUT -s 213.177.97.1/32 -p tcp -m tcp --sport 53 --dport 1024:65535 -m state                                                                              --state ESTABLISHED -j ACCEPT
-A INPUT -s 127.0.0.1/32 -i lo -j ACCEPT
-A INPUT -s 192.168.0.1/32 -i lo -j ACCEPT
-A INPUT -s 192.168.3.2/32 -i lo -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -d 213.177.96.1/32 -p udp -m udp --dport 53 -j ACCE                                                                             PT
-A FORWARD -s 213.177.96.1/32 -d 192.168.0.0/24 -p udp -m udp --sport 53 -m stat                                                                             e --state ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -d 213.177.96.1/32 -p tcp -m tcp --dport 53 -j ACCE                                                                             PT
-A FORWARD -s 192.168.0.0/24 -d 213.177.97.1/32 -p udp -m udp --dport 53 -j ACCE                                                                             PT
-A FORWARD -s 213.177.97.1/32 -d 192.168.0.0/24 -p udp -m udp --sport 53 -m stat                                                                             e --state ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -d 213.177.97.1/32 -p tcp -m tcp --dport 53 -j ACCE                                                                             PT
-A FORWARD -s 192.168.0.0/24 -d 194.186.xx.xx/32 -p tcp -m tcp --dport 1024:6553                                                                             5 -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -d 94.103.xx.xx/32 -p tcp -m tcp --dport 110 -j AC                                                                             CEPT
-A FORWARD -s 192.168.0.0/24 -d 94.103.xx.xx/32 -p tcp -m tcp --dport 25 -j ACC                                                                             EPT
-A FORWARD -p tcp -m state --state RELATED,ESTABLISHED -m multiport --sports 53,                                                                             110,25,3389,1024:65535 -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -o lo -j ACCEPT
-A OUTPUT -s 192.168.3.2/32 -j ACCEPT
-A OUTPUT -s 192.168.0.1/32 -j ACCEPT
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
COMMIT
# Completed on Tue Jan 19 12:39:41 2010

[skor]

-A FORWARD -d 192.168.0.177 -m tcp -p tcp --dport 3389 -j ACCEPT
-A FORWARD -s 192.168.0.177 -m tcp -p tcp --sport 3389 -j ACCEPT

[dfxi]

skor
Все пошло, спасибо