помогите пожалуйста допилить nat iptables

[Elaugaste]

Есть комп выделенный под фаервол и проксю (ubuntu server 9.10 2.6.31-14), к инету подключаеться по pppoe (eth4,ppp0) сайты смотрим по проксе squid, а под проги которые не могут ходить по проксе открываю порты в iptables в локалку смотрит eth7
собственно за хотелось мне порубать в варик (wine 1.1.42)
6112 открыл удачно погамал уже созданную доту, а когда захотел схостить свою игру ничего не вышло
С подобным уже сталкивался дома потому понял что нушно курить nat дабы выгнать машину в инет (на d-link модеме эти опции лежали во вкладке Virtual Server)
вроде как сделал как надо :

(Нажмите, чтобы показать/скрыть)

sysctl -w net.ipv4.ip_forward="1"
iptables -F
iptables -t nat -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source INET_IP

#Warcraft host
iptables -t nat -A PREROUTING -i ppp0 -p tcp -m multiport --dport 6111:6115 -j DNAT --to-destination 192.168.0.201:6112
iptables -t nat -A PREROUTING -i ppp0 -p udp -m multiport --dport 6111:6115 -j DNAT --to-destination 192.168.0.201:6112

iptables -t nat -A PREROUTING -i ppp0 -p tcp -m multiport --sport 6111:6115 -j DNAT --to-destination 192.168.0.201:6112
iptables -t nat -A PREROUTING -i ppp0 -p udp -m multiport --sport 6111:6115 -j DNAT --to-destination 192.168.0.201:6112

#Разрешить порт проксе и udp
iptables -A FORWARD -i eth4 -p tcp --dport 3128 -j ACCEPT
iptables -A FORWARD -p udp -j ACCEPT
iptables -A INPUT -p udp -j ACCEPT
iptables -A OUTPUT -p udp -j ACCEPT

#Разрешить подключения к маршрутизатору (для прокси и ssh)
iptables -A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

#Warcraft
iptables -A FORWARD -p tcp -m multiport --dport 6112:6115 -j ACCEPT
iptables -A FORWARD -p tcp -m multiport --sport 6112:6115 -j ACCEPT

#RDP
iptables -A FORWARD -s 192.168.0.88 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -d 192.168.0.88 -p tcp --sport 3389 -j ACCEPT

http://www.whatsmyip.org/ports/ говорит что порт открыт (когда варик запущен)

tcpdump -i eth7 port 6112 показывает:

(Нажмите, чтобы показать/скрыть)

13:07:42.035330 IP 93-81-219-205.broadband.corbina.ru.63092 > 192.168.0.201.6112: Flags [.], ack 1, win 65535, length 0
13:07:42.035337 IP 93-81-219-205.broadband.corbina.ru.63092 > 192.168.0.201.6112: Flags [P.], seq 1:47, ack 1, win 65535, length 46
13:07:42.035526 IP 192.168.0.201.6112 > 93-81-219-205.broadband.corbina.ru.63092: Flags [.], ack 47, win 5840, length 0
13:07:50.600070 IP 178.123.177.122.54899 > 192.168.0.201.6112: Flags [R.], seq 50, ack 1, win 0, length 0
13:07:52.089997 IP 93-81-219-205.broadband.corbina.ru.63092 > 192.168.0.201.6112: Flags [R.], seq 47, ack 1, win 0, length 0

(если я не туплю то видно что пакеты из инета (ктото пытаеться приконнектиться) в мой комп заходят и он даже отвечает)

tcpdump -i ppp0 -nn -nnn port 6112 :

(Нажмите, чтобы показать/скрыть)

13:13:30.918629 IP 178.49.252.105.20226 > INET_IP.6112: Flags , seq 1450275907, win 65535, options [mss 1452,nop,nop,sackOK], length 0
13:13:30.918841 IP INET_IP.6112 > 178.49.252.105.20226: Flags [S.], seq 3392265882, ack 1450275908, win 5840, options [mss 1452,nop,nop,sackOK], length 0
13:13:30.944515 IP 178.49.252.105.20226 > INET_IP.6112: Flags [.], ack 1, win 65535, length 0
13:13:30.944517 IP 178.49.252.105.20226 > INET_IP.6112: Flags [P.], seq 1:48, ack 1, win 65535, length 47

вот 178.49.252.105 это ктото конектиться

Надеюсь на вашу помощь
ибо очень мне нужно с этим разобраться (не только для игр нужно порты пробрасывать)

[lega911]

RDP пробрасываеться?

у тебя в цепи форвард нет ацепта для tcp варика, попробуй:
iptables -A FORWARD -o eth7 -d 192.168.0.201 -p tcp --dport 6112 -j ACCEPT

если не поможет то:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROPна ACCEPT поменять, чисто для проверки.

и ещё какая-то мысля была, пока писал - забыл , вспомню - напишу.

[Elaugaste]

RDP пробрасываеться?

Ну зайти из инета на комп удаеться следовательно да

у тебя в цепи форвард нет ацепта для tcp варика, попробуй:
iptables -A FORWARD -o eth7 -d 192.168.0.201 -p tcp --dport 6112 -j ACCEPT

попробую сейчас

мм  а
#Warcraft
iptables -A FORWARD -p tcp -m multiport --dport 6112:6115 -j ACCEPT
iptables -A FORWARD -p tcp -m multiport --sport 6112:6115 -j ACCEPT

разве это не тоже самое ? онож вроде разрешает ходить всем пакетам (не ток моим) по 6112-6115 портам в обе стороны и по всем интерфейсам

не помогло

если не поможет то:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROPна ACCEPT поменять, чисто для проверки.

по пробовал не помогло

[lega911]

разве это не тоже самое ? онож вроде разрешает ходить всем пакетам (не ток моим) по 6112-6115 портам в обе стороны и по всем интерфейсам

просмотрел

выдай iptables-save

Пользователь решил продолжить мысль 04 Августа 2010, 10:45:10:адреса правильные? т.е. варик на втором компе ...201, а rdp на третем ...88

добавь разрешение для udp
iptables -A FORWARD -p udp -m multiport --dport 6112:6115 -j ACCEPT

вместо: iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
по стандарту так пишут: iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

[MaratSh]

если не поможет то:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROPна ACCEPT поменять, чисто для проверки.

по пробовал не помогло

Ну тогда вообще странно.
Возможно твой "варик" (это Warcraft или что?) соединяется не только по TCP.

[Elaugaste]

iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Aug  5 11:38:55 2010
*nat
:PREROUTING ACCEPT [499835:58675699]
:POSTROUTING ACCEPT [219541:14076824]
:OUTPUT ACCEPT [288951:18628599]
-A PREROUTING -d INET_IP/32 -i ppp0 -p tcp -m tcp --dport 6112 -j DNAT --to-destination 192.168.0.201:6112
-A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j SNAT --to-source INET_IP
COMMIT
# Completed on Thu Aug  5 11:38:55 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 11:38:55 2010
*mangle
:PREROUTING ACCEPT [15096928:8046136943]
:INPUT ACCEPT [10728589:7340636585]
:FORWARD ACCEPT [4367588:705414741]
:OUTPUT ACCEPT [10453805:7668635325]
:POSTROUTING ACCEPT [14726049:8368646585]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Thu Aug  5 11:38:55 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 11:38:55 2010
*filter
:INPUT DROP [18960:1133039]
:FORWARD DROP [675:37080]
:OUTPUT DROP [86:10914]
-A INPUT -p udp -j ACCEPT
-A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT
-A FORWARD -p udp -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A FORWARD -p tcp -m tcp --dport 6112 -j ACCEPT
-A FORWARD -p tcp -m tcp --sport 6112 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A OUTPUT -p udp -j ACCEPT
-A OUTPUT -m state --state NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Thu Aug  5 11:38:55 2010

если не поможет то:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROPна ACCEPT поменять, чисто для проверки.

по пробовал не помогло

Ну тогда вообще странно.
Возможно твой "варик" (это Warcraft или что?) соединяется не только по TCP.

Warcraft 3 TFT по умолчанию использует 6112 порт

цепочки input и output по сути тут вообще нас не волнуют ибо пакеты назначающиеся не локальному компу идут в сеть, а за проход отвечает forward.
насколько я знаю открывая порты в forward я разрешаю пакетам ходить по этим портам НО т.к. пакеты идут в инет не напрямую а через комп - маршрутизатор ip подменяеться (я могу до мира дозвониться и мир мне ответит но ответ до меня не дойдет а завязнет на маршрутизаторе)
чтоб выкинуть машину в инет и нужен nat и цепочки input output тут не причем

по правьте если ошибаюсь

адреса правильные? т.е. варик на втором компе ...201, а rdp на третем ...88

Конечно  

по идее должно происходить следующее
создал игру - порт начал ждать подключений - ктото ломится - инициируется новое соединение - подключивщийся виден в списке игроков

sudo netstat -anp --udp --tcp | grep LISTEN
показывает 6112 порт

вот соединение то походу и не устанавниваеться (хоть порт и открыт ..)  
как отследить пакеты ... (что с ними сделал маршрутизатор приминил snat dnat drop accept и.т.д.) ктонить знает?


http://us.blizzard.com/support/article.xml?locale=en_US&articleId=21109
вот нарыл

- Allow port 6112 TCP out and allow established sessions in
 
- Allow port 6112 TCP in (hosting custom games)
 
- Allow port 6113-6119 TCP out and in (hosting custom games if you've changed the default port in the Options/Gameplay screen)

открыл 6112:6119
Используеться только 6112


Вот смог отследить tcpdump -i any port 6112

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

12:38:27.526883 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > INET.6112: Flags [S], seq 1591464184, win 65535, options [mss 1426,nop,nop,sackOK], length 0

12:38:27.526901 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > 192.168.0.201.6112: Flags [S], seq 1591464184, win 65535, options [mss 1426,nop,nop,sackOK], length 0

12:38:27.527132 IP 192.168.0.201.6112 > pppoe-188-187-26-50.volgograd.ertelecom.ru.3671: Flags [S.], seq 1553250512, ack 1591464185, win 5840, options [mss 1460,nop,nop,sackOK], length 0

12:38:27.527146 IP INET.6112 > pppoe-188-187-26-50.volgograd.ertelecom.ru.3671: Flags [S.], seq 1553250512, ack 1591464185, win 5840, options [mss 1452,nop,nop,sackOK], length 0

12:38:27.625840 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > INET.6112: Flags [.], ack 1, win 65535, length 0

12:38:27.625849 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > 192.168.0.201.6112: Flags [.], ack 1, win 65535, length 0

12:38:27.638292 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > INET.6112: Flags [P.], seq 1:54, ack 1, win 65535, length 53

12:38:27.638300 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > 192.168.0.201.6112: Flags [P.], seq 1:54, ack 1, win 65535, length 53

12:38:27.638496 IP 192.168.0.201.6112 > pppoe-188-187-26-50.volgograd.ertelecom.ru.3671: Flags [.], ack 54, win 5840, length 0

12:38:27.638503 IP INET.6112 > pppoe-188-187-26-50.volgograd.ertelecom.ru.3671: Flags [.], ack 54, win 5840, length 0

12:38:37.694924 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > INET.6112: Flags [R.], seq 54, ack 1, win 0, length 0

12:38:37.694934 IP pppoe-188-187-26-50.volgograd.ertelecom.ru.3671 > 192.168.0.201.6112: Flags [R.], seq 54, ack 1, win 0, length 0

я в этой части не особо начитан  но явно что до меня долбятся и до долбиться не могут (сорее всего осуществляется несколько попыток соединения) ибо ко мне пакетов приходит больше а ответов от меня совсем мало

[AnrDaemon]

-A PREROUTING -d INET_IP/32 -i ppp0 -p tcp -m tcp --dport 6112 -j DNAT --to-destination 192.168.0.201:6112

Ошибка. Поэтому и просим всегда показывать iptables-save, а не непойми кем писаные скрипты.

:OUTPUT DROP [86:10914]
Это шутка или издевательство?

filter выпрямляй.

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.0.0/24 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT # или я не понял тонкой издёвки оригинального правила.
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT

И объясни сакральный смысл этих пар правил, пока я со смеху не кончился.
-A FORWARD -d 192.168.0.88/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A FORWARD -p tcp -m tcp --dport 6112 -j ACCEPT
-A FORWARD -p tcp -m tcp --sport 6112 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -p tcp -m multiport --dports 110,25 -j ACCEPT

[Elaugaste]

-A PREROUTING -d INET_IP/32 -i ppp0 -p tcp -m tcp --dport 6112 -j DNAT --to-destination 192.168.0.201:6112

Ошибка. Поэтому и просим всегда показывать iptables-save, а не непойми кем писаные скрипты.

извини что статичный IP  не показываю

И объясни сакральный смысл этих пар правил, пока я со смеху не кончился.

ну дак
разрешение хождения в обе стороны 0_о а только на прием не хочет работать
допилю скоро

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT # или я не понял тонкой издёвки оригинального правила.

эм .. а что не так то ... разрешение входящего коннекта для ssh

вот свежий
iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Aug  5 12:54:01 2010
*nat
:PREROUTING ACCEPT [502824:58966485]
:POSTROUTING ACCEPT [221515:14196587]
:OUTPUT ACCEPT [290913:18747670]
-A PREROUTING -d INET_IP/32 -i ppp0 -p tcp -m multiport --dports 6112:6119 -j DNAT --to-destination 192.168.0.201
-A PREROUTING -d INET_IP/32 -i ppp0 -p udp -m udp --dport 6112:6119 -j DNAT --to-destination 192.168.0.201
-A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j SNAT --to-source INET_IP
COMMIT
# Completed on Thu Aug  5 12:54:01 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 12:54:01 2010
*mangle
:PREROUTING ACCEPT [15137151:8058593698]
:INPUT ACCEPT [10766717:7352405537]
:FORWARD ACCEPT [4369647:706098543]
:OUTPUT ACCEPT [10485081:7681907089]
:POSTROUTING ACCEPT [14759326:8382598839]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Thu Aug  5 12:54:01 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 12:54:01 2010
*filter
:INPUT DROP [531:32048]
:FORWARD DROP [39:1872]
:OUTPUT DROP [0:0]
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -p udp -m udp --sport 53 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A FORWARD -p tcp -m multiport --dports 6112:6119 -j ACCEPT
-A FORWARD -p tcp -m multiport --sports 6112:6119 -j ACCEPT
-A FORWARD -p udp -m multiport --dports 6112:6119 -j ACCEPT
-A FORWARD -p udp -m multiport --sports 6112:6119 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Thu Aug  5 12:54:01 2010

вообще я еще учусь не судите строго плз :-)

:OUTPUT DROP [86:10914]
Это шутка или издевательство?

извини но тут вообще не понял

[AnrDaemon]

-A PREROUTING -d INET_IP/32 -i ppp0 -p tcp -m tcp --dport 6112 -j DNAT --to-destination 192.168.0.201:6112

Ошибка. Поэтому и просим всегда показывать iptables-save, а не непойми кем писаные скрипты.

извини что статичный IP  не показываю

*пожимая плечами* при нормальной настройке от него пользы, как от снега зимой.

И объясни сакральный смысл этих пар правил, пока я со смеху не кончился.

ну дак
разрешение хождения в обе стороны 0_о а только на прием не хочет работать

У тебя уже есть правило на обратку. Зачем ЕЩЁ что-то писать? Пиши только то, что действительно нужно.

допилю скоро

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT # или я не понял тонкой издёвки оригинального правила.

эм .. а что не так то ... разрешение входящего коннекта для ssh

У тебя было нечто совершенно другое там написано.

вот свежий
iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Aug  5 12:54:01 2010
*filter
:INPUT DROP [531:32048]
:FORWARD DROP [39:1872]
:OUTPUT DROP [0:0]
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -p udp -m udp --sport 53 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A FORWARD -p tcp -m multiport --dports 6112:6119 -j ACCEPT
-A FORWARD -p tcp -m multiport --sports 6112:6119 -j ACCEPT
-A FORWARD -p udp -m multiport --dports 6112:6119 -j ACCEPT
-A FORWARD -p udp -m multiport --sports 6112:6119 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.88/32 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Thu Aug  5 12:54:01 2010

вообще я еще учусь не судите строго плз :-)

А если с вами не строго, вообще учиться не будете. Ещё раз повторяю.

Код: [Выделить]

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT # Сори, забыл в прошлый раз...
-A INPUT -s 192.168.0.0/24 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT # или я не понял тонкой издёвки оригинального правила.
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT
...по ОДНОМУ правилу на каждый порт... только прямые соединения (-d XXXX/32 --dport NNN)...
COMMITСохранить в файл, скормить iptable-restore.

:OUTPUT DROP [86:10914]
Это шутка или издевательство?

извини но тут вообще не понял

Чего ты не понял? С какого перепугу у тебя OUTPUT DROP? Тебе сеть вообще нужна или где?

[Elaugaste]

*пожимая плечами* при нормальной настройке от него пользы, как от снега зимой.  

я еще не на столько уверен в своих умениях чтобы так просто светить статичный ip

Чего ты не понял? С какого перепугу у тебя OUTPUT DROP? Тебе сеть вообще нужна или где?

мм ок ..
только..

Код: [Выделить]

Chain OUTPUT (policy DROP)
target     prot opt source               destination        
ACCEPT     udp  --  anywhere             anywhere            udp spt:domain
ACCEPT     all  --  anywhere             anywhere            ctstate NEW,ESTABLISHED  # мм  какбы это развеж не разрешает? 0_о тогда как я счас в инете сижу
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

У тебя было нечто совершенно другое там написано.

мм а что было то

...по ОДНОМУ правилу на каждый порт... только прямые соединения (-d XXXX/32 --dport NNN)...

чуть позже поправлю  ибо почта идет а если убрать -sport нехочет

короче убрать правила
-A FORWARD -d 192.168.0.88/32 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -d 192.168.0.20/32 -p tcp -m multiport --sports 110,25 -j ACCEPT
и им подобные
так?

[lega911]

в данном случае --sport вообще не работает, т.к. исходящий порт не изестен, поэтому не должен ни на че влиять.

Код: [Выделить]

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            udp spt:domain
ACCEPT     all  --  anywhere             anywhere            ctstate NEW,ESTABLISHED  # мм  какбы это развеж не разрешает? 0_о тогда как я счас в инете сижу
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:sshздесь первая строка - запретить все, после этого "ACCEPT     all  --  anywhere             anywhere            ctstate NEW,ESTABLISHED" - разрешить все, а остальные 2 просто болтаються бесполезно.
можно сказать правила друг другу противоречат, поэтому лучше срзау сделать ":OUTPUT ACCEPT [0:0]"

[Elaugaste]

аа ... )
вот оночто  блин я дурак

вот ток всеравно не работает варик (

http://www.opennet.ru/openforum/vsluhforumID1/88916.html

(Нажмите, чтобы показать/скрыть)

Если добавить правила

*nat
-A POSTROUTING -o eth1 -j MASQUERADE
-A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
-A PREROUTING -p tcp --dport 6112 -i eth1 -j DNAT --to-destination 192.168.0.2:6112
COMMIT
*filter
-A FORWARD -p tcp -m tcp -m multiport --dports 6112:6119,6500,6886 -i eth0 -j ACCEPT
-A FORWARD -p udp -m udp -m multiport --dports 6112:6119 -i eth0 -j ACCEPT
COMMIT

то машина с ip 192.168.0.2 может хостить НО подцепится к ней могут только из внешки

ну в целом у меня все тож самое но не хостит
но почему непонятно

новый save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Aug  5 14:41:03 2010
*nat
:PREROUTING ACCEPT [505803:59309386]
:POSTROUTING ACCEPT [224420:14378753]
:OUTPUT ACCEPT [293807:18929176]
-A PREROUTING -d 195.206.45.34/32 -i ppp0 -p tcp -m multiport --dports 6112:6119 -j DNAT --to-destination 192.168.0.201
-A PREROUTING -d 195.206.45.34/32 -i ppp0 -p udp -m udp --dport 6112:6119 -j DNAT --to-destination 192.168.0.201
-A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j SNAT --to-source 195.206.45.34
COMMIT
# Completed on Thu Aug  5 14:41:03 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 14:41:03 2010
*mangle
:PREROUTING ACCEPT [15185830:8071844907]
:INPUT ACCEPT [10811319:7364066393]
:FORWARD ACCEPT [4373722:707688432]
:OUTPUT ACCEPT [10525740:7708954227]
:POSTROUTING ACCEPT [14803952:8411230482]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Thu Aug  5 14:41:03 2010
# Generated by iptables-save v1.4.4 on Thu Aug  5 14:41:03 2010
*filter
:INPUT DROP [1:52]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [52:6720]
-A INPUT -p udp -j ACCEPT
-A INPUT -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A FORWARD -i eth4 -p tcp -m tcp --dport 3128 -j ACCEPT
-A FORWARD -p udp -j ACCEPT
-A FORWARD -p udp -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
-A FORWARD -p tcp -m multiport --dports 6112:6119,6500,6886 -j ACCEPT
-A FORWARD -p udp -m multiport --dports 6112:6119,6500,6886 -j ACCEPT
-A FORWARD -s 192.168.0.88/32 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -s 192.168.0.20/32 -p tcp -m multiport --dports 110,25 -j ACCEPT
COMMIT
# Completed on Thu Aug  5 14:41:03 2010

[lega911]

> -A POSTROUTING -o eth1 -j MASQUERADE
тут наверно ppp0 должно быть? инет от куда идет.
> -A PREROUTING -p tcp --dport 6112 -i eth1 -j DNAT --to-destination 192.168.0.2:6112
для варика ещё протокол udp вроде нужен

интерфейсы сменились?

[Elaugaste]

> -A POSTROUTING -o eth1 -j MASQUERADE
тут наверно ppp0 должно быть? инет от куда идет.
> -A PREROUTING -p tcp --dport 6112 -i eth1 -j DNAT --to-destination 192.168.0.2:6112
для варика ещё протокол udp вроде нужен

интерфейсы сменились?

эмь ссылку я не просто так остаил ...

это чел писал на форуме как он настроил что у него работало

Был поставлен эксперимент на 192.168.0.201 была создана локальная игра варика а с виндовой машины была попытка законектиться
  ии И ЭТА МОРДА не законектилась     (зато когда хостанул на виньде все законектило)

варик на винду был скопирован с .201 потому косяк на .201 машине ) 

ЗЫ Стенка на 201 Ubuntu 10.04 отключена  остается винить Wine