[Comm] iptables, NAT

[Comm] iptables, NAT

[Jury Levykin]

Шлюз в интернет (на основе ALM 2.4),
на нем настроен NAT следующим образом:
iptables -t nat -A POSTROUTING -s $INTRANET --out-interface 
$EXTERNAL_INTERFACE \
             -j SNAT --to-source $IPADDR

проблема в том, что если при старте скрипта я сначала все запрещаю:
iptables -P INPUT   DROP
iptables -P OUTPUT  DROP
iptables -P FORWARD DROP

а потом открываю то, что нужно (например NAT) то пакеты из внутренней 
сети ($INTRANET)
не проходят через шлюз.

если закомментировать:
# iptables -P FORWARD DROP

все работает, но меня смущает, что я видимо не прав поступая таким образом.

Как правильно открыть доступ для локальной сети?

Re: [Comm] iptables, NAT

[Sergey Paradeyev]

Jury Levykin пишет:

> Шлюз в интернет (на основе ALM 2.4),
> на нем настроен NAT следующим образом:
> iptables -t nat -A POSTROUTING -s $INTRANET --out-interface 
> $EXTERNAL_INTERFACE \
>             -j SNAT --to-source $IPADDR
>
> проблема в том, что если при старте скрипта я сначала все запрещаю:
> iptables -P INPUT   DROP
> iptables -P OUTPUT  DROP
> iptables -P FORWARD DROP
>
> а потом открываю то, что нужно (например NAT) то пакеты из внутренней 
> сети ($INTRANET)
> не проходят через шлюз.
>
> если закомментировать:
> # iptables -P FORWARD DROP
>
> все работает, но меня смущает, что я видимо не прав поступая таким 
> образом.
>
> Как правильно открыть доступ для локальной сети?

Все правильно делаешь, только надо еще разрешить $INTRANET ходить сквозь 
шлюз, через цепочку FORWARD
iptables -A FORWARD -s $ITRANET -j ACCEPT
iptables -A FORWARD -d $ITRANET -j ACCEPT

Re: [Comm] iptables, NAT

[Jury Levykin]

Sergey Paradeyev пишет:

> Все правильно делаешь, только надо еще разрешить $INTRANET ходить 
> сквозь шлюз, через цепочку FORWARD
> iptables -A FORWARD -s $ITRANET -j ACCEPT
> iptables -A FORWARD -d $ITRANET -j ACCEPT

Говорит следующее на каждую команду:
Bad argument `ACCEPT'
Try `iptables -h' or 'iptables --help' for more information.

если написать:
iptables -A FORWARD -i eth1 -s $ITRANET -j ACCEPT
то таже ошибка остается.

Re: [Comm] iptables, NAT

[Jury Levykin]

Jury Levykin пишет:

> Говорит следующее на каждую команду:
> Bad argument `ACCEPT'
> Try `iptables -h' or 'iptables --help' for more information.
>
> если написать:
> iptables -A FORWARD -i eth1 -s $ITRANET -j ACCEPT
> то таже ошибка остается.

Похоже что то не так было в строке: $ITRANET
скопировал ее из своего скрипта и все заработало, Спасибо :)

Re: [Comm] iptables, NAT

[Мерзляков Евгений Анатольевич]

On Sun, 15 Jan 2006 20:15:27 +0300
Jury Levykin <jury@geodigital.ru> wrote:

> Jury Levykin пишет:
> 
> > Говорит следующее на каждую команду:
> > Bad argument `ACCEPT'
> > Try `iptables -h' or 'iptables --help' for more information.
> >
> > если написать:
> > iptables -A FORWARD -i eth1 -s $ITRANET -j ACCEPT
> > то таже ошибка остается.
> 
> Похоже что то не так было в строке: $ITRANET
> скопировал ее из своего скрипта и все заработало, Спасибо :)

дык в ней одной буковки нехватает :)

-- 
ПКБ Акустика
Мерзляков Е.А.						icq #115657846