* [Comm] iptables и переброска порта
@ 2009-04-29 13:31 Roman V. Tutov
2009-04-29 13:35 ` AShen
` (3 more replies)
0 siblings, 4 replies; 11+ messages in thread
From: Roman V. Tutov @ 2009-04-29 13:31 UTC (permalink / raw)
To: ALT Linux Community general discussions
возникла необходимость перебросить порт 3389 с машины в локалке на внешний интерфейс машины выполняющей роль gw
aaa.aaa.aaa.aaa - внешний интерфейс шлюзовой машины
bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно перебросить вовне
контрукция вида
iptables -t nat -A PREROUTING -p tcp -d aaa.aaa.aaa.aaa --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:3389
вполне работает , но хочеться чтоб это правило было не для всего интернета а для конкретных адресов
т.е я хочу указать "-dst" но для нескольких адресов
собственно как ?
--
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:31 [Comm] iptables и переброска порта Roman V. Tutov
@ 2009-04-29 13:35 ` AShen
2009-04-29 13:45 ` Timur Batyrshin
` (2 subsequent siblings)
3 siblings, 0 replies; 11+ messages in thread
From: AShen @ 2009-04-29 13:35 UTC (permalink / raw)
To: ALT Linux Community general discussions
Roman V. Tutov пишет:
> возникла необходимость перебросить порт 3389 с машины в локалке на
> внешний интерфейс машины выполняющей роль gw
> aaa.aaa.aaa.aaa - внешний интерфейс шлюзовой машины
> bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно
> перебросить вовне
>
> контрукция вида
> iptables -t nat -A PREROUTING -p tcp -d aaa.aaa.aaa.aaa --dport 3389
> -j DNAT --to-destination bbb.bbb.bbb.bbb:3389
> вполне работает , но хочеться чтоб это правило было не для всего
> интернета а для конкретных адресов
> т.е я хочу указать "-dst" но для нескольких адресов
>
> собственно как ?
Пример правил для скрипта настройки iptables:
#Наш внешний IP-адрес
INET_IP=""
#IP-адрес в инете на который разрешаем ходить по RDP
RDP_IP=""
#IP-адрес в ЛВС кому разрешаем лезть в инет по RDP
RDP_USER_IP=""
#Слушаем на INET-интерфейсе RDP, если его нужно нам пробрасывать внутрь ЛВС
$IPTABLES -A INPUT -i $INET_IFACE -p tcp -m tcp --dport 3389 -j
ACCEPT # RDP
#Выход для RDP из ЛВС
$IPTABLES -t nat -A POSTROUTING -s $RDP_USER_IP -d $RDP_IP -o
$INET_IFACE -j SNAT --to-source $INET_IP
$IPTABLES -A FORWARD -s $RDP_USER_IP -d $RDP_IP -j ACCEPT
#Вход в ЛВС для RDP
$IPTABLES -t nat -A PREROUTING -s $RDP_IP -i $INET_IFACE -p tcp --dport
3389 -j DNAT --to-destination $RDP_USER_IP
$IPTABLES -A FORWARD -s $RDP_IP -i $INET_IFACE -p tcp --dport 3389 -d
$RDP_USER_IP -j ACCEPT
P.S.: вопрос для sysadmins@
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:31 [Comm] iptables и переброска порта Roman V. Tutov
2009-04-29 13:35 ` AShen
@ 2009-04-29 13:45 ` Timur Batyrshin
2009-04-29 13:55 ` Roman V. Tutov
2009-04-29 13:56 ` Владимир Кутявин
2009-04-29 14:43 ` Denis Nazarov
3 siblings, 1 reply; 11+ messages in thread
From: Timur Batyrshin @ 2009-04-29 13:45 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 1054 bytes --]
On Wed, 29 Apr 2009 17:31:14 +0400
Roman V. Tutov wrote:
> контрукция вида
> iptables -t nat -A PREROUTING -p tcp -d aaa.aaa.aaa.aaa --dport 3389
> -j DNAT --to-destination bbb.bbb.bbb.bbb:3389 вполне работает , но
> хочеться чтоб это правило было не для всего интернета а для
> конкретных адресов
> собственно как ?
Я обычно делаю сперва NAT всего трафика вообще, а потом в цепочке
filter фильтрую только нужное.
> т.е я хочу указать "-dst" но для нескольких адресов
Наверное все-таки --src для нескольких адресов.
Если же именно несколько --dst (т.е. на маршрутизаторе несколько
внешних адресов), можно просто задать несколько аналогичных правил с
разными --dst
[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:45 ` Timur Batyrshin
@ 2009-04-29 13:55 ` Roman V. Tutov
2009-04-29 14:51 ` Владимир Кутявин
0 siblings, 1 reply; 11+ messages in thread
From: Roman V. Tutov @ 2009-04-29 13:55 UTC (permalink / raw)
To: ALT Linux Community general discussions
Timur Batyrshin пишет:
> Если же именно несколько --dst (т.е. на маршрутизаторе несколько
> внешних адресов), можно просто задать несколько аналогичных правил с
> разными --dst
т.е можно несколькими правилами перебрасывать один порт ???
--
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:31 [Comm] iptables и переброска порта Roman V. Tutov
2009-04-29 13:35 ` AShen
2009-04-29 13:45 ` Timur Batyrshin
@ 2009-04-29 13:56 ` Владимир Кутявин
2009-04-30 4:31 ` Serge
2009-04-29 14:43 ` Denis Nazarov
3 siblings, 1 reply; 11+ messages in thread
From: Владимир Кутявин @ 2009-04-29 13:56 UTC (permalink / raw)
To: ALT Linux Community general discussions
for ip in xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy zzz.zzz.zzz.zzz .... ; do
iptables -t nat -A PREROUTING -p tcp -s $ip -d aaa.aaa.aaa.aaa --dport
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891;
done
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:56 ` Владимир Кутявин
@ 2009-04-30 4:31 ` Serge
2009-04-30 8:15 ` Владимир Кутявин
0 siblings, 1 reply; 11+ messages in thread
From: Serge @ 2009-04-30 4:31 UTC (permalink / raw)
To: ALT Linux Community general discussions
В сообщении от Wednesday 29 April 2009 16:56:10 Владимир Кутявин написал(а):
> for ip in xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy zzz.zzz.zzz.zzz .... ; do
> iptables -t nat -A PREROUTING -p tcp -s $ip -d aaa.aaa.aaa.aaa --dport
> 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891;
> done
и как такое можно сделать в правилах firewall for etcnet?
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-30 4:31 ` Serge
@ 2009-04-30 8:15 ` Владимир Кутявин
2009-04-30 13:47 ` Serge
0 siblings, 1 reply; 11+ messages in thread
From: Владимир Кутявин @ 2009-04-30 8:15 UTC (permalink / raw)
To: ALT Linux Community general discussions
Serge пишет:
> и как такое можно сделать в правилах firewall for etcnet?
>
Что это такое? В другом виде мое предложение можно записать как:
iptables -t nat -A PREROUTING -p tcp -s xxx.xxx.xxx.xxx -d aaa.aaa.aaa.aaa --dport
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
iptables -t nat -A PREROUTING -p tcp -s yyy.yyy.yyy.yyy -d aaa.aaa.aaa.aaa --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
iptables -t nat -A PREROUTING -p tcp -s zzz.zzz.zzz.zzz -d aaa.aaa.aaa.aaa --dport
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-30 8:15 ` Владимир Кутявин
@ 2009-04-30 13:47 ` Serge
2009-04-30 15:22 ` Владимир Кутявин
0 siblings, 1 reply; 11+ messages in thread
From: Serge @ 2009-04-30 13:47 UTC (permalink / raw)
To: ALT Linux Community general discussions
В сообщении от Thursday 30 April 2009 11:15:41 Владимир Кутявин написал(а):
> Serge пишет:
> > и как такое можно сделать в правилах firewall for etcnet?
>
> Что это такое? В другом виде мое предложение можно записать как:
>
> iptables -t nat -A PREROUTING -p tcp -s xxx.xxx.xxx.xxx -d aaa.aaa.aaa.aaa
> --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
> iptables -t nat -A PREROUTING -p tcp -s yyy.yyy.yyy.yyy -d aaa.aaa.aaa.aaa
> --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891 iptables -t nat
> -A PREROUTING -p tcp -s zzz.zzz.zzz.zzz -d aaa.aaa.aaa.aaa --dport 3389 -j
> DNAT --to-destination bbb.bbb.bbb.bbb:33891
я понял :-)
имел ввиду через цикл for
^ permalink raw reply [flat|nested] 11+ messages in thread
* Re: [Comm] iptables и переброска порта
2009-04-29 13:31 [Comm] iptables и переброска порта Roman V. Tutov
` (2 preceding siblings ...)
2009-04-29 13:56 ` Владимир Кутявин
@ 2009-04-29 14:43 ` Denis Nazarov
3 siblings, 0 replies; 11+ messages in thread
From: Denis Nazarov @ 2009-04-29 14:43 UTC (permalink / raw)
To: ALT Linux Community general discussions
On Wednesday 29 April 2009 19:31:14 Roman V. Tutov wrote:
> возникла необходимость перебросить порт 3389 с машины в локалке на
> внешний интерфейс машины выполняющей роль gw aaa.aaa.aaa.aaa - внешний
> интерфейс шлюзовой машины
> bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно перебросить
> вовне
>
> контрукция вида
> iptables -t nat -A PREROUTING -p tcp -d aaa.aaa.aaa.aaa --dport 3389 -j
> DNAT --to-destination bbb.bbb.bbb.bbb:3389 вполне работает , но хочеться
> чтоб это правило было не для всего интернета а для конкретных адресов
> т.е я хочу указать "-dst" но для нескольких адресов
>
> собственно как ?
я бы рекомендовал на внешнем интерфейсе слушать не 3389, а какой
нибудь "левый" порт, например - 32451, тогда из линукса будет
rdesktop xx.xx.xx.xx:32451, в винде же просто вбить xx.xx.xx.xx:32451 в
окне подключения к удаленному раб. столу. По крайней мере тупой взлом
перебором логинов-паролей будет сильно затруднен. А вот внутри уже
отправлять на 3389. таким образом у меня работает
iptables -t nat -A PREROUTING -p tcp -d ааа.ааа.ааа.ааа --dport 32451 -j
DNAT --to-destination bbb.bbb.bbb.bbb:3389
^ permalink raw reply [flat|nested] 11+ messages in thread
end of thread, other threads:[~2009-04-30 15:22 UTC | newest]
Thread overview: 11+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2009-04-29 13:31 [Comm] iptables и переброска порта Roman V. Tutov
2009-04-29 13:35 ` AShen
2009-04-29 13:45 ` Timur Batyrshin
2009-04-29 13:55 ` Roman V. Tutov
2009-04-29 14:51 ` Владимир Кутявин
2009-04-29 13:56 ` Владимир Кутявин
2009-04-30 4:31 ` Serge
2009-04-30 8:15 ` Владимир Кутявин
2009-04-30 13:47 ` Serge
2009-04-30 15:22 ` Владимир Кутявин
2009-04-29 14:43 ` Denis Nazarov
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git