[Comm] маскарадинг

[Comm] маскарадинг

[Шенцев Алексей Владимирович]

В /etc/sysconfig/iptables внёс строку -A POSTROUTING -o <inet_dev> -j SNAT 
--to-source <inet_ip> . Как проверить, работает маскарадинг или нет?
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Slava Dubrovskiy]

Шенцев Алексей Владимирович пишет:

>В /etc/sysconfig/iptables внёс строку -A POSTROUTING -o <inet_dev> -j SNAT 
>--to-source <inet_ip> . Как проверить, работает маскарадинг или нет?
>  
>
>  
>
http://stealthtests.lockdowncorp.com/cgi-bin/ipenv

-- 
С уважением,
Дубровский Вячеслав.

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Среда 07 Декабрь 2005 18:30 Slava Dubrovskiy написал(a):
> http://stealthtests.lockdowncorp.com/cgi-bin/ipenv
Слава, спасибо за ссылку. Показывает, что маскарадинг работает. Но проблема 
такова: поднят dante-server. У клиента утсановлен sockscap. Запускаю изпод 
sockcap прогу (банк-клиент). С сервером в инете соединяется, но ничего не 
получает. На сервере в инете видно соединение и (!!!!!!!!!) внутренний адрес 
станции-клиента. Получается, что маскарадинг не работает, или я что-то не 
догоняю ... :[
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Anton Gorlov]

Шенцев Алексей Владимирович пишет:

>>http://stealthtests.lockdowncorp.com/cgi-bin/ipenv
> Слава, спасибо за ссылку. Показывает, что маскарадинг работает. Но проблема 
> такова: поднят dante-server. У клиента утсановлен sockscap. Запускаю изпод 
> sockcap прогу (банк-клиент). С сервером в инете соединяется, но ничего не 
> получает. 

А оно случаем входящие соединения с клиентом не устанавливает?


-- 
   np: Nightwish - Once - Dark Chest Of Wonders

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 10:28 Anton Gorlov написал(a):
> А оно случаем входящие соединения с клиентом не устанавливает?
Что оно?
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Anton Gorlov]

Шенцев Алексей Владимирович пишет:

>>А оно случаем входящие соединения с клиентом не устанавливает?
> Что оно?
Сервер банк-клиента.


-- 
   np: Nightwish - Once - The Siren

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 10:33 Anton Gorlov написал(a):
> Шенцев Алексей Владимирович пишет:
> Сервер банк-клиента.
Да устанавливается. Вопрос в том, что почему-то виден внутренний адрес 
конторской машины, а не внешний ip шлюза, хотя маскарадинг прописан, вроде 
работает.
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Anton Gorlov]

Шенцев Алексей Владимирович пишет:

>>Шенцев Алексей Владимирович пишет:
>>Сервер банк-клиента.
> Да устанавливается.

Тогда ещё нужно сделать dnat (проброситть порт на клиентскую машинку со 
шлюза)

> Вопрос в том, что почему-то виден внутренний адрес 
> конторской машины, а не внешний ip шлюза, хотя маскарадинг прописан, вроде 
> работает.

Хм..а вот это странно. Можете привести првило..которым вы сделали 
маскарадинг?


-- 
   np: Nightwish - Once - Ghost Love Score

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 10:45 Anton Gorlov написал(a):
> Тогда ещё нужно сделать dnat (проброситть порт на клиентскую машинку со
> шлюза)
А сокет-сервер (dante-server) это не делает что ли?

> Хм..а вот это странно. Можете привести првило..которым вы сделали
> маскарадинг?

-A POSTROUTING -o <inet_dev> -j SNAT --to-source <inet_ip>
где вместо <inet_dev> и <inet_ip>  реальные значения, взято с faq.altlinux.ru.

-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Anton Gorlov]

Шенцев Алексей Владимирович пишет:

>>Тогда ещё нужно сделать dnat (проброситть порт на клиентскую машинку со
>>шлюза)
> А сокет-сервер (dante-server) это не делает что ли?

А должен?

> -A POSTROUTING -o <inet_dev> -j SNAT --to-source <inet_ip>
> где вместо <inet_dev> и <inet_ip>  реальные значения, взято с faq.altlinux.ru.

Вроде похоже на правду.


-- 
   np: Nightwish - Away

Re: [Comm] маскарадинг

[Vladimir V. Kamarzin]

>>>>> On 07 Dec 2005 at 20:03 "a" == ashen  writes:

 a> В /etc/sysconfig/iptables внёс строку -A POSTROUTING -o <inet_dev> -j SNAT 
 a> --to-source <inet_ip> .

В /etc/sysconfig/iptables правила пишутся в формате iptables-save.

-- 
WBR, Vladimir V. Kamarzin.

Re: [Comm] маскарадинг

[Olvin]

Anton Gorlov wrote:
>>> Тогда ещё нужно сделать dnat (проброситть порт на клиентскую машинку со
>>> шлюза)
>> А сокет-сервер (dante-server) это не делает что ли?
> А должен?
>> -A POSTROUTING -o <inet_dev> -j SNAT --to-source <inet_ip>
>> где вместо <inet_dev> и <inet_ip>  реальные значения, взято с 
>> faq.altlinux.ru.
> Вроде похоже на правду.

Проброска порта - операция двунаправленная. Т.е. надо не только SNAT, но 
и DNAT.

iptables -t nat -A PREROUTING -p tcp --dport 42306 -d inet_addr -j DNAT 
--to-destination local_addr
iptables -t nat -A PREROUTING -p udp --dport 42306 -d inet_addr -j DNAT 
--to-destination local_addr
iptables -t nat -A POSTROUTING -p tcp --dport 42306 -s local_addr -j 
SNAT --to-source inet_addr
iptables -t nat -A POSTROUTING -p udp --dport 42306 -s local_addr -j 
SNAT --to-source inet_addr

Это работало.

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 12:23 Olvin написал(a):
> Проброска порта - операция двунаправленная. Т.е. надо не только SNAT, но
> и DNAT.
>
> iptables -t nat -A PREROUTING -p tcp --dport 42306 -d inet_addr -j DNAT
> --to-destination local_addr
> iptables -t nat -A PREROUTING -p udp --dport 42306 -d inet_addr -j DNAT
> --to-destination local_addr
> iptables -t nat -A POSTROUTING -p tcp --dport 42306 -s local_addr -j
> SNAT --to-source inet_addr
> iptables -t nat -A POSTROUTING -p udp --dport 42306 -s local_addr -j
> SNAT --to-source inet_addr
Такой тупой вопрос: inet_addr - адрес в интернете сервера к которому хочу 
подсоединиьтся или инет-адрес моего шлюза?
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Comm] маскарадинг

[Olvin]

Шенцев Алексей Владимирович wrote:
>>Проброска порта - операция двунаправленная. Т.е. надо не только SNAT, но
>>и DNAT.
>>iptables -t nat -A PREROUTING -p tcp --dport 42306 -d inet_addr -j DNAT
>>--to-destination local_addr
>>iptables -t nat -A PREROUTING -p udp --dport 42306 -d inet_addr -j DNAT
>>--to-destination local_addr
>>iptables -t nat -A POSTROUTING -p tcp --dport 42306 -s local_addr -j
>>SNAT --to-source inet_addr
>>iptables -t nat -A POSTROUTING -p udp --dport 42306 -s local_addr -j
>>SNAT --to-source inet_addr
> Такой тупой вопрос: inet_addr - адрес в интернете сервера к которому хочу 
> подсоединиьтся или инет-адрес моего шлюза?

Адрес инетовского интерфейса шлюза.

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

[-- Attachment #1: Type: text/plain, Size: 364 bytes --]

В сообщении от Четверг 08 Декабрь 2005 16:33 Olvin написал(a):
> Адрес инетовского интерфейса шлюза.
Ага, понятно, в таком случае правила для iptables должны выглядить примерно 
так, как у меня во вложении? Но с ними вышел небольшой косяк, я перестал 
получать почту из инета ... :[ Интересно, что же я не так наваял ... ;)
-- 
С уважением, Шенцев Алексей (AShen)

[-- Attachment #2: myiptables --]
[-- Type: application/x-shellscript, Size: 4274 bytes --]

Re: [Comm] маскарадинг

[Olvin]

Шенцев Алексей Владимирович wrote:
>>Адрес инетовского интерфейса шлюза.
> Ага, понятно, в таком случае правила для iptables должны выглядить примерно 
> так, как у меня во вложении? Но с ними вышел небольшой косяк, я перестал 
> получать почту из инета ... :[ Интересно, что же я не так наваял ... ;)

Посмотрел и забил. Долго разбираться. Скажу коротко: эти строчки просто 
пробрасывают порт, номер которого задан. В моём случае 42306. Больше ни 
на что это не влияет. Кроме того, должен быть разрешён форвард пакетов 
по этому порту.

Re: [Comm] маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 18:19 Olvin написал(a):
> Посмотрел и забил. Долго разбираться. Скажу коротко: эти строчки просто
> пробрасывают порт, номер которого задан. В моём случае 42306. Больше ни
> на что это не влияет. Кроме того, должен быть разрешён форвард пакетов
> по этому порту.
ВО! Разрешён форвард по данному порту! Пример плиз ... ;)
-- 
С уважением, Шенцев Алексей (AShen)

[Comm] Re: маскарадинг

[Michael Shigorin]

On Thu, Dec 08, 2005 at 06:30:37PM +0300, Шенцев Алексей Владимирович wrote:
> ВО! Разрешён форвард по данному порту! Пример плиз ... ;)

http://old.linux.kiev.ua/~mike/docs/iptables-sample4router
см. _EXT_PORT _INT_HOST:_INT_PORT

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: маскарадинг

[Шенцев Алексей Владимирович]

В сообщении от Четверг 08 Декабрь 2005 19:04 Michael Shigorin написал(a):
> http://old.linux.kiev.ua/~mike/docs/iptables-sample4router
> см. _EXT_PORT _INT_HOST:_INT_PORT
Завтра посмотрю, домой пора .. ;) всем до завтра ... ;) Вроде в вашем примере 
не много стал разбираться ... ;) как обычно, чем дальше, тем страшнее .. ;)
-- 
С уважением, Шенцев Алексей (AShen)