проброс порта через vpn тоннель

[minitar]

спецы подскажите как через iptables реализовать данную схему:
client->linux(vpn)ext_ip1->win(rdp)ext_ip2
необходима защита и сокрытие от клиента ext_ip2

[fisher74]

что подразумевается под сокрытием?

[minitar]

что подразумевается под сокрытием?

чтобы клиент подключался к rdp не зная его реального адреса.

[fisher74]

чтобы клиент подключался к rdp не зная его реального адреса.

Думаете iptables-ом запретить открывать в Windowsх свойства сетевого соединения? Я Вас умоляю, усмирите немного параною.

Пробрасывается примерно так

Код: [Выделить]

sudo iptables -t nat -A PREROUTING -i ppp101 -p tcp --dport 1034 -j DNAT --to-destination 192.168.0.25:3389

[minitar]

Думаете iptables-ом запретить открывать в Windowsх свойства сетевого соединения? Я Вас умоляю, усмирите немного параною.

конечно же не iptables, а политиками самой win.

Пробрасывается примерно так

Код: [Выделить]

sudo iptables -t nat -A PREROUTING -i ppp101 -p tcp --dport 1034 -j DNAT --to-destination 192.168.0.25:3389

не работает, а какой адрес в данном случае пишет клиент в rdp, адрес интерфейса vpn тоннеля?

[fisher74]

не работает

Пробрасывается примерно так

Как задали вопрос, так и ответил.

а какой адрес в данном случае пишет клиент в rdp, адрес интерфейса vpn тоннеля?

угу

[minitar]

спецы, подскажите почему не работает проброс?

Код: [Выделить]

#!/bin/sh
TUN_IFACE="tun0"
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -t nat -F
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
iptables -t nat -A PREROUTING -i $TUN_IFACE -p tcp --dport 33389 -j DNAT --to-destination xx.xx.xx.xx:3389

[fisher74]

[astral]потому что у комп xx.xx.xx.xx нет маршрута на сеть VPN[/astral]

[minitar]

[astral]потому что у комп xx.xx.xx.xx нет маршрута на сеть VPN[/astral]

на win прописал:
route -p add адрес-vpn-сети mask 255.255.255.255 внешний-адрес-vpn-компьютера
и все равно не пробрасывается rdp

[fisher74]

route -p add адрес-vpn-сети mask 255.255.255.255 внешний-адрес-vpn-компьютера

Боюсь, что до "тройки" Ваши знания по теории построения сетей не дотягивают.

Поясню происходящее. Вы просите нас помочь сделать настройки, не показав (или хотя бы рассказав) структуру сети. Это реально сделать, но только методом научного тыка.

[minitar]

route -p add адрес-vpn-сети mask 255.255.255.255 внешний-адрес-vpn-компьютера

Поясню происходящее. Вы просите нас помочь сделать настройки, не показав (или хотя бы рассказав) структуру сети. Это реально сделать, но только методом научного тыка.

Так структура в самом верху. Два виртуальных сервера, один интерфейс, внешние адреса. Между собо не связаны. И есть клиент который подключается через openvpn. Нужно проскочитб далее по rdp.

[fisher74]

Код: [Выделить]

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

[minitar]

Код: [Выделить]

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Огромное спасибо за помощь!
Заработало вот в таком варианте:

Код: [Выделить]

#!/bin/sh
iptables -F
iptables -t nat -F
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 3389 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j DNAT --to-destination x.x.x.x:3389
iptables -A FORWARD -i tun0 --dst x.x.x.x -p tcp --destination-port 3389 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
Можно ли здесь еще что-нибудь оптимизировать?

[fisher74]

Можно ли здесь еще что-нибудь оптимизировать?

Можно. Оптимизинуйте.

(Нажмите, чтобы показать/скрыть)

предлагаю свой вариант оптимизации.
Некоторые пункты не важны для малонагруженной системы, но раз идёт разговор об оптимизации....

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 3389 -m state --state NEW -j ACCEPT
...
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 --dst x.x.x.x -p tcp --destination-port 3389 -j ACCEPT