вопрос про проброс

[Quicksand]

Вот так я пробрасываю народ кто ломится по порту 5900 на сервак с ИП 88.222.6.222 во внутреннюю сеть на ип 192.168.10.107 и такой же порт

Код: Выделить всё

iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 5900 -j DNAT --to-destination 192.168.10.107
iptables -t nat -I POSTROUTING -s 192.168.10.107 -j SNAT --to-source 88.222.6.222
iptables -t filter -I FORWARD -s 192.168.10.107 -p tcp --sport 5900 -j ACCEPT
iptables -t filter -I FORWARD -d 192.168.10.107 -p tcp --dport 5900 -j ACCEPT

а как мне пробросить народ который будет ломиться допустим на порт 5901 во внутреннюю сеть но на другой порт тоесть надо что бы кто будет ломиться на сервак по порту 5901 пробросить на ип допустим 192.168.10.50 и порт 80 например

[VPF]

Вот так я пробрасываю народ кто ломится по порту 5900 на сервак с ИП 88.222.6.222 во внутреннюю сеть на ип 192.168.10.107 и такой же порт

Код: Выделить всё

iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 5900 -j DNAT --to-destination 192.168.10.107
 iptables -t nat -I POSTROUTING -s 192.168.10.107 -j SNAT --to-source 88.222.6.222
 iptables -t filter -I FORWARD -s 192.168.10.107 -p tcp --sport 5900 -j ACCEPT
 iptables -t filter -I FORWARD -d 192.168.10.107 -p tcp --dport 5900 -j ACCEPT

а как мне пробросить народ который будет ломиться допустим на порт 5901 во внутреннюю сеть но на другой порт тоесть надо что бы кто будет ломиться на сервак по порту 5901 пробросить на ип допустим 192.168.10.50 и порт 80 например

Это называется Redirect, но точное правило подсказать не могу.
Не использовал сам.

[stannum]

поправлю, это не редирект. это Destination NAT(DNAT)
делается также как и вы делаете, просто дописываете после IPшника: ':port'
например, -j DNAT --to-destination 192.168.10.50:80

[VPF]

поправлю, это не редирект. это Destination NAT(DNAT)
делается также как и вы делаете, просто дописываете после IPшника: ':port'
например, -j DNAT --to-destination 192.168.10.50:80

А что редирект тогда означает?
Хотелось бы разобраться...

[Quicksand]

вот как раз с :порт как вы подсказали не работает)))

[stannum]

кхм-кхм:

man iptables гласит:

REDIRECT
This target is only valid in the nat table, in the PREROUTING and OUT-
PUT chains, and user-defined chains which are only called from those
chains. It redirects the packet to the machine itself by changing the
destination IP to the primary address of the incoming interface
(locally-generated packets are mapped to the 127.0.0.1 address). It
takes one option:

--to-ports port[-port]
This specifies a destination port or range of ports to use:
without this, the destination port is never altered. This is
only valid if the rule also specifies -p tcp or -p udp.

Что в переводе значит:

Данная ЦЕЛЬ дейстует только в цепочках PREROUTING и OUTPUT таблицы nat, а также в пользовательских цепочках, вызванных из указанных.
Перенаправляет пакеты на саму же машину, путем смены адреса назначения, на основной адрес интерфейса, с которого получен пакет (пакеты сгенеренные локально, уходят на 127.0.0.1), принимает один параметр - --to-ports - определяющий порт, куда перенаправлять пакеты, либо диапазон портов, действует только в случае указания параметров -p tcp или -p udp.

Вот вроде так.

[stannum]

2 Quicksand:

Работает, причем как часы. проверяйте цепочку FORWARD - там затык скорее всего.

[VPF]

2 Quicksand:

Работает, причем как часы. проверяйте цепочку FORWARD - там затык скорее всего.

На мой взгляд у него вообще она бессмыслена

Код: Выделить всё

iptables -t filter -I FORWARD -s 192.168.10.107 -p tcp --sport 5900 -j ACCEPT
iptables -t filter -I FORWARD -d 192.168.10.107 -p tcp --dport 5900 -j ACCEPT

stannum
С редиректом разобрались. Перенаправлять можно только на другие порты локально.
Спасибо за информацию.

[stannum]

Вопрос конечно спорный, зависит, ИМХО, от протокола.
но для http(80), такое правило вроде должно катить. А, лучше, опять же ИМХО, использовать -m state --state RELATED,ESTABLISHED.

[serge_m]

Вот так я пробрасываю народ кто ломится по порту 5900 на сервак с ИП 88.222.6.222 во внутреннюю сеть на ип 192.168.10.107 и такой же порт

Код: Выделить всё

iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 5900 -j DNAT --to-destination 192.168.10.107
iptables -t nat -I POSTROUTING -s 192.168.10.107 -j SNAT --to-source 88.222.6.222
iptables -t filter -I FORWARD -s 192.168.10.107 -p tcp --sport 5900 -j ACCEPT
iptables -t filter -I FORWARD -d 192.168.10.107 -p tcp --dport 5900 -j ACCEPT

а как мне пробросить народ который будет ломиться допустим на порт 5901 во внутреннюю сеть но на другой порт тоесть надо что бы кто будет ломиться на сервак по порту 5901 пробросить на ип допустим 192.168.10.50 и порт 80 например

А что это за бред в правилах? SNATим всех в адресс 88.222.6.222, а DNAT делаем на интерфейсе с айпишником 213.33.216.218 причём ранее написано несколько иное...Мягко-говоря "неудачная попытка" скрыть адресс своего сервера от общественности?

[Quicksand]

господа, вот как не пытаюсь, все не могу пробросить как мне нужно, помогите пожалуйста, а то совсем беда(

[Quicksand]

помогите(

[keir]

Например так (ip вымышленные). Надеюсь тут все понятно.

Код: Выделить всё

iptables -t nat -I PREROUTING -s 258.119.0.0/255.255.0.0 -d 78.256.122.2 -p tcp -m tcp --dport 8443 -j DNAT --to-destination 172.16.0.27:443

[Quicksand]

добавил это правило, вот так... не работает((
iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp -m tcp --dport 8888 -j DNAT --to-destination 192.168.7.107:80
оно не работает( в чем проблема понять не могу, но правило добавилось...

[Quicksand]

HELP ну не работает оно(((

gw:// # iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 8888 -j DNAT --to-destination 192.168.7.2:80
gw:// # iptables -t nat -I POSTROUTING -s 192.168.7.2 -j SNAT --to-source 213.33.216.218

[serge_m]

HELP ну не работает оно(((

gw:// # iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 8888 -j DNAT --to-destination 192.168.7.2:80
gw:// # iptables -t nat -I POSTROUTING -s 192.168.7.2 -j SNAT --to-source 213.33.216.218

а в FORWARD Что?
iptables -A FORWARD -p tcp -d 192.168.7.2 --dport 80 -j ACCEPT
попробуй нечто подобное Напоминать про включение форвардинга в ядре, думаю, не стоит... если это не поможет - тогда к бабке порчу снимать

[Quicksand]

ну вот нефига не работает((((((

Код: Выделить всё

gw:// # iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 8888 -j DNAT --to-destination 192.168.7.2:80
gw:// # iptables -t nat -I POSTROUTING -s 192.168.7.2 -j SNAT --to-source 213.33.216.218
gw:// # iptables -I FORWARD -p tcp -d 192.168.7.2 --dport 80 -j ACCEPT

[serge_m]

ну вот нефига не работает((((((

Код: Выделить всё

gw:// # iptables -t nat -I PREROUTING -d 213.33.216.218 -p tcp --dport 8888 -j DNAT --to-destination 192.168.7.2:80
gw:// # iptables -t nat -I POSTROUTING -s 192.168.7.2 -j SNAT --to-source 213.33.216.218
gw:// # iptables -I FORWARD -p tcp -d 192.168.7.2 --dport 80 -j ACCEPT

Вы стоите у раздорожья: или брать в руки TCPDUMP и смотреть где исчезают пакеты или всё таки к бабке...

[neru_dead]

У меня вот так работает:

Код: Выделить всё

# FORWARD Established,Related
    $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# IRC Redirect
    irc_ip="192.168.2.5"
    $IPT -A FORWARD -i $gif -o $local -d $irc_ip -j ACCEPT
    $IPT -A FORWARD -i $local -o $gif -s $irc_ip -j ACCEPT
    $IPT -t nat -A PREROUTING -p tcp --dst $gif_ip --dport 6667 -j DNAT --to-destination $irc_ip

Плюс на машине irc_ip надо ставить шлюз по умолчанию данную машину.