Настройка шлюза

[shusha]

Всем привет. Заранее прошу не пинать сильно ногами, а просто помочь.
Задача стоит как я понимаю простая, но не могу реализовать.
Есть шлюз, на нем нужно настроить iptables так чтоб входящий инет на порт eth1 работал на компах сети висящих на порту eth0. 80-й порт пробрасывался на локальную машину, а она в свою очередь видела входящее соединение не как с порта 192,168,0,1, а видела реальный ип подключения. сейчас инет ходит, порты проброшены, но локальный сервер видит вход с 192,168,0,1 а не х.х.х.х, вот конфиг:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*nat
:PREROUTING ACCEPT [33636:1753371]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [479:33791]
-A PREROUTING -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source xxx.xxx.xxx.xxx
-A POSTROUTING -j MASQUERADE
-A OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
COMMIT
# Completed on Fri Jun 22 14:32:38 2012
# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*mangle
:PREROUTING ACCEPT [224724:45745324]
:INPUT ACCEPT [217603:44158658]
:FORWARD ACCEPT [6540:1568074]
:OUTPUT ACCEPT [213425:29659974]
:POSTROUTING ACCEPT [219965:31228048]
COMMIT
# Completed on Fri Jun 22 14:32:38 2012
# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*filter
:INPUT ACCEPT [217603:44158658]
:FORWARD ACCEPT [1047:61556]
:OUTPUT ACCEPT [213425:29659974]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Fri Jun 22 14:32:38 2012

И если есть у кого какие нибудь предложения по улучшению конфига фаервола, очень буду благодарен.

[ivsatel]

Вот так попробуйте:

удалить правило

Код: [Выделить]

iptables -D PREROUTING -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150добавить правило

Код: [Выделить]

iptables -A PREROUTING -s xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
удалить

Код: [Выделить]

iptables -D OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
добавить

Код: [Выделить]

iptables -A OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-source 192.168.0.150

[shusha]

Теперь вообще не пашет ) вернул еще варианты есть?

[ivsatel]

Да это я неправильно понял.
Можно в цепочке PREROUTING вместо -d ip указать непосредственно -i eth1 он же внешний т.е. получится

Код: [Выделить]

iptables -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150И в форварде разрешить DNAT

Код: [Выделить]

iptables -A FORWARD -m conntrack --ctstate DNAT -j ACCEPT

[shusha]

нечего не изменилось. определяет входящее соединение как мой внешний ип.

[tagilchanin]

Всем привет. Заранее прошу не пинать сильно ногами, а просто помочь.
Задача стоит как я понимаю простая, но не могу реализовать.
Есть шлюз, на нем нужно настроить iptables так чтоб входящий инет на порт eth1 работал на компах сети висящих на порту eth0. 80-й порт пробрасывался на локальную машину, а она в свою очередь видела входящее соединение не как с порта 192,168,0,1, а видела реальный ип подключения. сейчас инет ходит, порты проброшены, но локальный сервер видит вход с 192,168,0,1 а не х.х.х.х, вот конфиг:

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*nat
:PREROUTING ACCEPT [33636:1753371]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [479:33791]
-A PREROUTING -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source xxx.xxx.xxx.xxx
-A POSTROUTING -j MASQUERADE
-A OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
COMMIT
# Completed on Fri Jun 22 14:32:38 2012
# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*mangle
:PREROUTING ACCEPT [224724:45745324]
:INPUT ACCEPT [217603:44158658]
:FORWARD ACCEPT [6540:1568074]
:OUTPUT ACCEPT [213425:29659974]
:POSTROUTING ACCEPT [219965:31228048]
COMMIT
# Completed on Fri Jun 22 14:32:38 2012
# Generated by iptables-save v1.4.8 on Fri Jun 22 14:32:38 2012
*filter
:INPUT ACCEPT [217603:44158658]
:FORWARD ACCEPT [1047:61556]
:OUTPUT ACCEPT [213425:29659974]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Fri Jun 22 14:32:38 2012

И если есть у кого какие нибудь предложения по улучшению конфига фаервола, очень буду благодарен.

Объясни что это значит 80-й порт пробрасывался на локальную машину, а она в свою очередь видела входящее соединение не как с порта 192,168,0,1, а видела реальный ип подключения.
попробуй убрать эту строки:
-A POSTROUTING -j MASQUERADE
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source xxx.xxx.xxx.xxx
и добавь: -A POSTROUTING -s 192.168.0.0/24 -o eth1 -j SNAT --to-source хх.хх.хх.хх

[ivsatel]

Еще можно убрать:

Код: [Выделить]

-A OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150 Т.к. транзит там не идет.
И на сколько я понял, тут не порт нужно пробросить а машину. Наверно так просто это не получится.

[fisher74]

Эхххх....
Исправляйте и пользуйтесь на здоровье

*nat
:PREROUTING ACCEPT [33636:1753371]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [479:33791]
-A PREROUTING -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source xxx.xxx.xxx.xxx
-A POSTROUTING -o eth1 -j MASQUERADE
-A OUTPUT -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
....
*filter
:INPUT DROP [217603:44158658]
:FORWARD DROP [1047:61556]
-A INPUT -s 192.168.0.0/24 -i eth0 -j ACCEPT
...

остальное оставьте как есть

ЗЫ Последние три предложенные строки не связаны с вопросом - просто для усиления безопасности шлюза.

[shusha]

теперь сервак вообще не доступен. (

[fisher74]

так сначала надо было разрешить INPUT из локальной сети (последняя строка), а уж потом выставлять дефолтный DROP.

[shusha]

Жестокий рестарт сервера не помог, буду ждать вечера как доберусь до него. 

[fisher74]

А Вы как вносили правила-то?

[ivsatel]

fisher74,
Вопрос по теме.
Вот эти правила:

Код: [Выделить]

-A PREROUTING -d xxx.xxx.xxx.xxx/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A POSTROUTING -o eth1 -j MASQUERADEОни ведь все равно будут выдавать на локальной машине адрес шлюза, а не адрес машины из интернета?
Т.е
Локальный адрес шлюза = 1
Внешний адрес шлюза = 2
Адрес клиента из внешней сети = 3

Имею в виду = 1 или = 2 но никак не = 3

Это верно?

[shusha]

А Вы как вносили правила-то?

Правил iptables.up.rules и поднимал iptables restore

[koshev]

Правил iptables.up.rules и поднимал iptables restore

iptables.up.rules - не правится.

Код: (code) [Выделить]

iptables-restore < /path/to/iptables.up.rules
iptables $(нужные действия)
iptables-save > /path/to/iptables.up.rules