iptables REDIRECT --to-ports

[cyber_eagle]

Доброго ВС! Возникли сложности в настройке iptables.
Ситуация такая: есть приложение, которое слушает порт 999, и разбирает приходящие заголовки tcp/ip...(напр redsocks; тоесть порт/адрес назначения менять нельзя). Хочу сделать так, чтобы это приложение обрабатывало только проходящие (FORWARD) пакеты. Я попытался сделать так: в mangle FORWARD ставлю метку (mark), а на nat POSTROUTING для всех отмеченых пакетов вызывал -j REDIRECT --to-ports 999, но редиректить можно только в цепочках PREROUTING и OUTPUT. Из этого следует, что для реализации такой системы нужно знать, что пакет уйдет в цепочку FORWARD, еще до того, как он покинул nat PREROUTING ? Для redsocks предлагается перенаправлять все пакеты из подсети на цепочке PREROUTING, что не очень подходит, если адрес сети каждый раз другой (dhcp) . Возможно я чтото упустил в манах.Буду благодарен за помощь.

[cyber_eagle]

С документации по iptables:
При перенаправлении целевой IP-адрес пакета меняется на основной адрес интерфейса отправки (локальным пакетам присваивается 127.0.0.1).

Каким тогда образом redsocks узнает о изначальном адресе назначения, если при перенаправлении он меняется?

[AnrDaemon]

iptables штука сложная. Именно поэтому карта, обычно приводимая здесь, отмечена как "simplified" - упрощённая.
Возможно, будет проще что-то советовать, если вы опишете конечную цель ваших мытарств?

[cyber_eagle]

Возможно, будет проще что-то советовать, если вы опишете конечную цель ваших мытарств?

Собственно все это ради красивого (на сколько это возможно) прокси сервера для локальной сети.
К серверу будут обращатся компьютеры с локальной сети, как к шлюзу. Весь этот (FORWARD/проходящий) трафик нужно направить в redsocks.

Вот, что предлагают в мануале по настройке redsocks:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Create new chain
root# iptables -t nat -N REDSOCKS

# Ignore LANs and some other reserved addresses.
# See http://en.wikipedia.org/wiki/Reserved_IP_addresses#Reserved_IPv4_addresses
# and http://tools.ietf.org/html/rfc5735 for full list of reserved networks.
root# iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN
root# iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN
root# iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN
root# iptables -t nat -A REDSOCKS -d 169.254.0.0/16 -j RETURN
root# iptables -t nat -A REDSOCKS -d 172.16.0.0/12 -j RETURN
root# iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN
root# iptables -t nat -A REDSOCKS -d 224.0.0.0/4 -j RETURN
root# iptables -t nat -A REDSOCKS -d 240.0.0.0/4 -j RETURN

# Anything else should be redirected to port 12345
root# iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 12345

# Any tcp connection made by `luser' should be redirected.
root# iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner luser -j REDSOCKS


Но чтото мне подсказало, что это не совсем красиво
И вот, что попытался сделать я:

Код: [Выделить]

iptables -t mangle -A FORWARD -p tcp -j MARK --set-mark 101
iptables -t mangle -A FORWARD -p udp -j MARK --set-mark 101

iptables -t nat -A POSTROUTING -p tcp -m mark --mark 101 -j REDIRECT --to-ports 31338
iptables -t nat -A POSTROUTING -p udp -m mark --mark 101 -j REDIRECT --to-ports 31338
В ответ получил:

Код: [Выделить]

x_tables: ip_tables: REDIRECT target: used from hooks POSTROUTING, but only usable from PREROUTING/OUTPUT
ЗЫ: Как же не хочется лезть в исходники...

[AnrDaemon]

Ещё раз - какая конечная цель. Прокси-сервер это не цель, это средство.

[cyber_eagle]

За redsocks будет что угодно: напр запрос socks5 к 190.228.33.114:8080 и тп.
Обход ограничений провайдера...сокрытие трафика пользователей от КГБ...
Я ведь не ищу инструкций, на какие кнопки нужно нажать, чтобы получилось Это.

Мне интересен метод решения разных задач на базе вышеописанного прокси сервера исключительно в образовательных целях. Также полезно узнать на сколько всеобъемлющий iptables и необходимость доработок в даном направлении.

[AnrDaemon]

Ну и как вы собрались скрывать трафик пользователей, установив прокси-сервер локально?…

[cyber_eagle]

запрос socks5 к 190.228.33.114:8080

*упаковать и отправить на внешний socks5 прокси

[AnrDaemon]

VPN. Внешний. Да.

[cyber_eagle]

Ойойойо и Роджер сказал не отступать, и мы отчалили. С того времени весельчака никто не видел...
Мне кажется, мсье, что гораздо продуктивнее будет пропатчить iptables, или доказать, что это технически невозможно сделать. Как выяснилось, ув. Рассел не все учел в своем творении...

[AnrDaemon]

Т.е. прямое решение вас не устраивает, вам подавай костыли?

[cyber_eagle]

Но ведь vpn это не решение изначально поставленной задачи с первого моего поста. Пример с прокси сервером я был вынужден привести.

Допустим я злостный хакер и хочу устроить mitm атаку на локальную сеть посредством arp спуфинга. Вот уже весь трафик между жертвой и шлюзом идет через мой девайс по цепочке forwarding. Крайне полезно было бы обрабатывать этот трафик в моем хитром приложении, которое заменит в тексте веб страниц все слова "windows" на "linux".
Это приложение открывает сокет и ждет трафик на 665 порту.
При этом использовать "REDIRECT --to-ports" в цепочке prerouting я не могу тккак тогда у меня пропадет интернет и я не смогу...скачать важное обновление системы

[AnrDaemon]

Первоначальная задача, как мы выяснили - скрыть трафик пользователей от провайдера.
Ответ - VPN.

Допустим я злостный хакер и хочу устроить mitm атаку на локальную сеть посредством arp спуфинга.

Это уже совершенно другая задача. И решается совершенно другими средствами.

[cyber_eagle]

Ситуация такая: есть приложение, которое слушает порт 999, и разбирает приходящие заголовки tcp/ip...(напр redsocks; тоесть порт/адрес назначения менять нельзя). Хочу сделать так, чтобы это приложение обрабатывало только проходящие (FORWARD) пакеты.

Изначальная задача была перенаправить трафик, посредством iptables, с цепочки forward в сокет пользовательского приложения.

[AnrDaemon]

-s <localnet> ! -d <localnet> -j REDIRECT