[Comm] iptables и переброска порта

[Comm] iptables и переброска порта

[Roman V. Tutov]

возникла необходимость перебросить порт 3389 с машины в локалке на внешний интерфейс машины выполняющей роль gw
aaa.aaa.aaa.aaa - внешний интерфейс шлюзовой машины
bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно перебросить вовне

контрукция вида
iptables -t nat -A PREROUTING -p tcp  -d aaa.aaa.aaa.aaa --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:3389
вполне работает , но хочеться чтоб это правило было не для всего интернета а для конкретных адресов
т.е я хочу указать "-dst" но для нескольких адресов

собственно как ?


-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] iptables и переброска порта

[AShen]

Roman V. Tutov пишет:
> возникла необходимость перебросить порт 3389 с машины в локалке на 
> внешний интерфейс машины выполняющей роль gw
> aaa.aaa.aaa.aaa - внешний интерфейс шлюзовой машины
> bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно 
> перебросить вовне
>
> контрукция вида
> iptables -t nat -A PREROUTING -p tcp  -d aaa.aaa.aaa.aaa --dport 3389 
> -j DNAT --to-destination bbb.bbb.bbb.bbb:3389
> вполне работает , но хочеться чтоб это правило было не для всего 
> интернета а для конкретных адресов
> т.е я хочу указать "-dst" но для нескольких адресов
>
> собственно как ?
Пример правил для скрипта настройки iptables:

#Наш внешний IP-адрес
INET_IP=""

#IP-адрес в инете на который разрешаем ходить по RDP
RDP_IP=""

#IP-адрес в ЛВС кому разрешаем лезть в инет по RDP
RDP_USER_IP=""

#Слушаем на INET-интерфейсе RDP, если его нужно нам пробрасывать внутрь ЛВС
$IPTABLES -A INPUT -i $INET_IFACE -p tcp -m tcp --dport 3389 -j 
ACCEPT                                  # RDP

#Выход для RDP из ЛВС
$IPTABLES -t nat -A POSTROUTING -s $RDP_USER_IP -d $RDP_IP -o 
$INET_IFACE -j SNAT --to-source $INET_IP
$IPTABLES -A FORWARD -s $RDP_USER_IP -d $RDP_IP -j ACCEPT

#Вход в ЛВС для RDP
$IPTABLES -t nat -A PREROUTING -s $RDP_IP -i $INET_IFACE -p tcp --dport 
3389 -j DNAT --to-destination $RDP_USER_IP
$IPTABLES -A FORWARD -s $RDP_IP -i $INET_IFACE -p tcp --dport 3389 -d 
$RDP_USER_IP -j ACCEPT


P.S.: вопрос для sysadmins@

Re: [Comm] iptables и переброска порта

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 1054 bytes --]

On Wed, 29 Apr 2009 17:31:14 +0400
Roman V. Tutov wrote:

> контрукция вида
> iptables -t nat -A PREROUTING -p tcp  -d aaa.aaa.aaa.aaa --dport 3389
> -j DNAT --to-destination bbb.bbb.bbb.bbb:3389 вполне работает , но
> хочеться чтоб это правило было не для всего интернета а для
> конкретных адресов 
> собственно как ?

Я обычно делаю сперва NAT всего трафика вообще, а потом в цепочке
filter фильтрую только нужное.

> т.е я хочу указать "-dst" но для нескольких адресов

Наверное все-таки --src для нескольких адресов.

Если же именно несколько --dst (т.е. на маршрутизаторе несколько
внешних адресов), можно просто задать несколько аналогичных правил с
разными --dst

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Comm] iptables и переброска порта

[Roman V. Tutov]

Timur Batyrshin пишет:

> Если же именно несколько --dst (т.е. на маршрутизаторе несколько
> внешних адресов), можно просто задать несколько аналогичных правил с
> разными --dst
т.е можно несколькими правилами перебрасывать один порт ???


-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] iptables и переброска порта

[Владимир Кутявин]

Roman V. Tutov пишет:
> т.е можно несколькими правилами перебрасывать один порт ???
>
Конечно, если условия для выполнения правила разные.

Re: [Comm] iptables и переброска порта

[Владимир Кутявин]

for ip in xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy zzz.zzz.zzz.zzz .... ; do
iptables -t nat -A PREROUTING -p tcp -s $ip  -d aaa.aaa.aaa.aaa --dport 
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891;
done

Re: [Comm] iptables и переброска порта

[Serge]

В сообщении от Wednesday 29 April 2009 16:56:10 Владимир Кутявин написал(а):
> for ip in xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy zzz.zzz.zzz.zzz .... ; do
> iptables -t nat -A PREROUTING -p tcp -s $ip  -d aaa.aaa.aaa.aaa --dport
> 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891;
> done
и как такое можно сделать в правилах firewall for etcnet?

Re: [Comm] iptables и переброска порта

[Владимир Кутявин]

Serge пишет:
> и как такое можно сделать в правилах firewall for etcnet?
>   
Что это такое? В другом виде мое предложение можно записать как:

iptables -t nat -A PREROUTING -p tcp -s xxx.xxx.xxx.xxx  -d aaa.aaa.aaa.aaa --dport
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
iptables -t nat -A PREROUTING -p tcp -s yyy.yyy.yyy.yyy  -d aaa.aaa.aaa.aaa --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
iptables -t nat -A PREROUTING -p tcp -s zzz.zzz.zzz.zzz  -d aaa.aaa.aaa.aaa --dport
3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891

Re: [Comm] iptables и переброска порта

[Serge]

В сообщении от Thursday 30 April 2009 11:15:41 Владимир Кутявин написал(а):
> Serge пишет:
> > и как такое можно сделать в правилах firewall for etcnet?
>
> Что это такое? В другом виде мое предложение можно записать как:
>
> iptables -t nat -A PREROUTING -p tcp -s xxx.xxx.xxx.xxx  -d aaa.aaa.aaa.aaa
> --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891
> iptables -t nat -A PREROUTING -p tcp -s yyy.yyy.yyy.yyy  -d aaa.aaa.aaa.aaa
> --dport 3389 -j DNAT --to-destination bbb.bbb.bbb.bbb:33891 iptables -t nat
> -A PREROUTING -p tcp -s zzz.zzz.zzz.zzz  -d aaa.aaa.aaa.aaa --dport 3389 -j
> DNAT --to-destination bbb.bbb.bbb.bbb:33891
я понял :-)
имел ввиду через цикл for

Re: [Comm] iptables и переброска порта

[Владимир Кутявин]

Serge пишет:
> я понял :-)
> имел ввиду через цикл for
>   
А.. Не знаю :)

Re: [Comm] iptables и переброска порта

[Denis Nazarov]

On Wednesday 29 April 2009 19:31:14 Roman V. Tutov wrote:
> возникла необходимость перебросить порт 3389 с машины в локалке на
> внешний интерфейс машины выполняющей роль gw aaa.aaa.aaa.aaa - внешний
> интерфейс шлюзовой машины
> bbb.bbb.bbb.bbb- адрес машины внутри сети порт которой нужно перебросить
> вовне
>
> контрукция вида
> iptables -t nat -A PREROUTING -p tcp  -d aaa.aaa.aaa.aaa --dport 3389 -j
> DNAT --to-destination bbb.bbb.bbb.bbb:3389 вполне работает , но хочеться
> чтоб это правило было не для всего интернета а для конкретных адресов
> т.е я хочу указать "-dst" но для нескольких адресов
>
> собственно как ?

я бы рекомендовал на внешнем интерфейсе слушать не 3389, а какой 
нибудь "левый" порт, например  - 32451, тогда из линукса будет 
rdesktop xx.xx.xx.xx:32451, в винде же просто вбить xx.xx.xx.xx:32451 в 
окне подключения к удаленному раб. столу. По крайней мере тупой взлом 
перебором логинов-паролей будет сильно затруднен. А вот внутри уже 
отправлять на 3389. таким образом у меня работает
iptables -t nat -A PREROUTING -p tcp -d ааа.ааа.ааа.ааа --dport 32451 -j 
DNAT --to-destination bbb.bbb.bbb.bbb:3389