[Comm] iptables_settings

[Comm] iptables_settings

[Глазунов Алексей Александрович]

Есть необходимость научить программу "Дипост" ходить в инет в обход proxy.
Функцию прокси, помимо прочих, выполняет ALTLinux Master 2.2.
На ALTLinux-сервере стоит 2 сетевые карты:
eth0 - смотрит в инет с IP 213.129.97.250
eth1 - смотрит в локалку с IP 192.168.0.0/255.255.255.0
Все ходят в инет только через squid.

Дипост рапотает с портами 25 и 110  и никаких настроек под прокси не имеет.
Есть возможность другие порты указать. Решили, чтобы не сломать почту, что  
нужно
на сервере с локального компа 192.168.0.205 принимать запросы на порты  
3025 и 3110
и передавать их далее на 195.98.64.73 в порты 25 и 110. Ответы с  
195.98.64.73
соответвенно требуется переадресовать на 192.168.0.205.
Сделал следующие настройки в iptables:

# Example iptables config file.
# Note the this file uses the format of iptables-save
# What follows is an example of this output.  However,
# the actual rule lines have been commented out.
# DO NOT USE THE -t (table) OPTION IN THIS FILE!
*mangle
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#-A PREROUTING -p tcp --dport 22 -j TOS --set-tos 0x10
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#-A FORWARD -i eth0 -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
#195.98.64.73 - ip-server_bank
#-A PREROUTING -p tcp --dport 25 -j REDIRECT --to-ports 3128
#-A PREROUTING -p tcp -d 192.168.0.205 --dport 3025 -j DNAT  
--to-destination 195.98.64.73:25
#-A PREROUTING -p tcp -d 192.168.0.205 --dport 3110 -j DNAT  
--to-destination 195.98.64.73:110

-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 25 -j DNAT  
--to-destination 192.168.0.205:3025
-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 110 -j DNAT  
--to-destination 192.168.0.205:3110

:POSTROUTING ACCEPT [0:0]
#-A POSTROUTING -p tcp --dport 110 -o eth0 -j SNAT --to-source  
213.129.97.252
#-A POSTROUTING -p tcp -s 192.168.0.205 -d 192.168.0.201 -o eth0 -j SNAT  
--to-source 213.129.97.252:25

-A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source  
213.129.97.252:25
-A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source  
213.129.97.252:110

:OUTPUT ACCEPT [0:0]
#-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT



"Дипост" так и не заработал :-(
Как проверить правильно ли настроил iptables? Может еще чего-то нужно  
подкрутить?

-- 
С уважением,
Глазунов Алексей Александрович
Ведущий инженер-программист
Отдел программирования и связи
ОАО "ВОРОНЕЖОБЛГАЗ"
(4732) 51-22-56

Re: [Comm] iptables_settings

[Дмитрий Ананьев]

-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 3025 -j DNAT
--to-destination 192.168.0.205:3025
-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 3110 -j DNAT
--to-destination 192.168.0.205:3110

-- 
С уважением, Дмитрий Ананьев
d.ananyev@gmail.com

Re: [Comm] iptables_settings

[Дмитрий Ананьев]

И так же вместо всех пострутингов

-A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source
213.129.97.252


-- 
С уважением, Дмитрий Ананьев
d.ananyev@gmail.com

Re: [Comm] iptables_settings

[Глазунов Алексей Александрович]

On Fri, 20 Oct 2006 16:10:48 +0400, Дмитрий Ананьев <d.ananyev@gmail.com>  
wrote:

> И так же вместо всех пострутингов
>
> -A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source
> 213.129.97.252
>

Подправил как и посоветовали, но всё равно не соединяется "Дипост".
пишет:
Клиент SMTP\POP3. Начало работы.
Клиент SMTP\POP3. Параметры проинициализированы.
Устанавливаем SMTP соединение с сервером '192.168.0.201'.
- Ошибка установления SMTP соединения с сервером '192.168.0.201'.
Устанавливаем SMTP соединение с сервером '192.168.0.201'.

192.168.0.201 - это eth1 на ALTLinux Master 2.2.
Может порты  3110 и 3025 надо где-то открыть?

-- 
С уважением,
Глазунов Алексей Александрович
Ведущий инженер-программист
Отдел программирования и связи
ОАО "ВОРОНЕЖОБЛГАЗ"
(4732) 51-22-56

Re: [Comm] iptables_settings

[Дмитрий Ананьев]

>
> 192.168.0.201 - это eth1 на ALTLinux Master 2.2.
> Может порты  3110 и 3025 надо где-то открыть?

Дык проверьте "telnet 192.168.0.201 25"
Может быть этой программе нужен доступ к почте.
Кстати, зачем нужно было переназначать порты (у вас почтовый сервер)?

И на всякий случай tcpdump'ом посмотрите на шлюзе - кто куда лезет
-- 
С уважением, Дмитрий Ананьев
d.ananyev@gmail.com

Re: [Comm] iptables_settings

[Artur Yakupov]

Глазунов Алексей Александрович пишет:
> On Fri, 20 Oct 2006 16:10:48 +0400, Дмитрий Ананьев <d.ananyev@gmail.com>  
> wrote:
>
>   
>> И так же вместо всех пострутингов
>>
>> -A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source
>> 213.129.97.252
>>
>>     
>
> Подправил как и посоветовали, но всё равно не соединяется "Дипост".
> пишет:
> Клиент SMTP\POP3. Начало работы.
> Клиент SMTP\POP3. Параметры проинициализированы.
> Устанавливаем SMTP соединение с сервером '192.168.0.201'.
> - Ошибка установления SMTP соединения с сервером '192.168.0.201'.
> Устанавливаем SMTP соединение с сервером '192.168.0.201'.
>
> 192.168.0.201 - это eth1 на ALTLinux Master 2.2.
> Может порты  3110 и 3025 надо где-то открыть?
>
>   
Так вам не надо на 192.168.0.201 коннектиться а надо на настоящий 
195.98.64.73

-- 
------------
С уважением,
Артур Якупов

ЗАО Корпорация Интерсвязь

mailto:artur@cint.ru

Re: [Comm] iptables_settings

[Artur Yakupov]

Глазунов Алексей Александрович пишет:
> On Fri, 20 Oct 2006 16:10:48 +0400, Дмитрий Ананьев <d.ananyev@gmail.com>  
> wrote:
>
>   
>> И так же вместо всех пострутингов
>>
>> -A POSTROUTING -p tcp -s 192.168.0.205 -o eth0 -j SNAT --to-source
>> 213.129.97.252
>>
>>     
>
> Подправил как и посоветовали, но всё равно не соединяется "Дипост".
> пишет:
> Клиент SMTP\POP3. Начало работы.
> Клиент SMTP\POP3. Параметры проинициализированы.
> Устанавливаем SMTP соединение с сервером '192.168.0.201'.
> - Ошибка установления SMTP соединения с сервером '192.168.0.201'.
> Устанавливаем SMTP соединение с сервером '192.168.0.201'.
>
> 192.168.0.201 - это eth1 на ALTLinux Master 2.2.
> Может порты  3110 и 3025 надо где-то открыть?
>
>   
И проверьте стоит ли ip_forward=1 в /etc/sysctl.conf если не изменяет 
память применительно к ALM2.2

-- 
------------
С уважением,
Артур Якупов

ЗАО Корпорация Интерсвязь

mailto:artur@cint.ru

Re: [Comm] iptables_settings

[Artur Yakupov]

Глазунов Алексей Александрович пишет:
> Есть необходимость научить программу "Дипост" ходить в инет в обход proxy.
> Функцию прокси, помимо прочих, выполняет ALTLinux Master 2.2.
> На ALTLinux-сервере стоит 2 сетевые карты:
> eth0 - смотрит в инет с IP 213.129.97.250
> eth1 - смотрит в локалку с IP 192.168.0.0/255.255.255.0
> Все ходят в инет только через squid.
>
> Дипост рапотает с портами 25 и 110  и никаких настроек под прокси не имеет.
> Есть возможность другие порты указать. Решили, чтобы не сломать почту, что  
> нужно
> на сервере с локального компа 192.168.0.205 принимать запросы на порты  
> 3025 и 3110
> и передавать их далее на 195.98.64.73 в порты 25 и 110. Ответы с  
> 195.98.64.73
> соответвенно требуется переадресовать на 192.168.0.205.
> Сделал следующие настройки в iptables:
>
> # Example iptables config file.
> # Note the this file uses the format of iptables-save
> # What follows is an example of this output.  However,
> # the actual rule lines have been commented out.
> # DO NOT USE THE -t (table) OPTION IN THIS FILE!
> *mangle
> :PREROUTING ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> #-A PREROUTING -p tcp --dport 22 -j TOS --set-tos 0x10
> COMMIT
> *filter
> :INPUT ACCEPT [0:0]
> :FORWARD ACCEPT [0:0]
> :OUTPUT ACCEPT [0:0]
> #-A FORWARD -i eth0 -j ACCEPT
> COMMIT
> *nat
> :PREROUTING ACCEPT [0:0]
> #195.98.64.73 - ip-server_bank
> #-A PREROUTING -p tcp --dport 25 -j REDIRECT --to-ports 3128
> #-A PREROUTING -p tcp -d 192.168.0.205 --dport 3025 -j DNAT  
> --to-destination 195.98.64.73:25
> #-A PREROUTING -p tcp -d 192.168.0.205 --dport 3110 -j DNAT  
> --to-destination 195.98.64.73:110
>
>
>
> :POSTROUTING ACCEPT [0:0]
> #-A POSTROUTING -p tcp --dport 110 -o eth0 -j SNAT --to-source  
> 213.129.97.252
> #-A POSTROUTING -p tcp -s 192.168.0.205 -d 192.168.0.201 -o eth0 -j SNAT  
> --to-source 213.129.97.252:25
>
>
> :OUTPUT ACCEPT [0:0]
> #-A POSTROUTING -o eth0 -j MASQUERADE
> COMMIT
>
>
>
> "Дипост" так и не заработал :-(
> Как проверить правильно ли настроил iptables? Может еще чего-то нужно  
> подкрутить?
>
>   
Подправим так:

-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 25 -j DNAT  
--to-destination 192.168.0.205:3025
-A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 110 -j DNAT  
--to-destination 192.168.0.205:3110
-A POSTROUTING -p tcp --dport 25 -s 192.168.0.205 -o eth0 -j SNAT --to-source  
213.129.97.252
-A POSTROUTING -p tcp --dport 110 -s 192.168.0.205 -o eth0 -j SNAT --to-source  
213.129.97.252

в /etc/sysctl.conf добавить
net.ipv4.ip_forward = 1

и чтобы не перегружаться
echo 1 > /proc/sys/net/ipv4/ip_forward

в настройках дипоста оставить адрес дипостного сервера 195.98.64.73

Так все вроде должно работать при условии сохранения policy ACCEPT в цепочке FORWARD.
 

-- 
------------
С уважением,
Артур Якупов

ЗАО Корпорация Интерсвязь

mailto:artur@cint.ru

Re: [Comm] iptables_settings

[Шенцев Алексей Владимирович]

В сообщении от Пятница 20 октября 2006 16:01 Глазунов Алексей Александрович 
написал(a):
> Есть необходимость научить программу "Дипост" ходить в инет в обход proxy.
> Функцию прокси, помимо прочих, выполняет ALTLinux Master 2.2.
> На ALTLinux-сервере стоит 2 сетевые карты:
> eth0 - смотрит в инет с IP 213.129.97.250
> eth1 - смотрит в локалку с IP 192.168.0.0/255.255.255.0
> Все ходят в инет только через squid.
>
> Дипост рапотает с портами 25 и 110  и никаких настроек под прокси не имеет.
> Есть возможность другие порты указать. Решили, чтобы не сломать почту, что
> нужно
> на сервере с локального компа 192.168.0.205 принимать запросы на порты
> 3025 и 3110
> и передавать их далее на 195.98.64.73 в порты 25 и 110. Ответы с
> 195.98.64.73
> соответвенно требуется переадресовать на 192.168.0.205.
> Сделал следующие настройки в iptables:
<skip>
> "Дипост" так и не заработал :-(
> Как проверить правильно ли настроил iptables? Может еще чего-то нужно
> подкрутить?
1) Смотреть tcpdump'ом что твориться на интерфейсах во время соеденения 
дипостом с интернетом.
2) А кто цепочки FORWARD будет организовывать то?
3) У вас не файерол, а одна сплошная дыра. Все ворота открыты настежь, ходи 
кто хочет, куда хочет .... 8) 
Посмотрите мой вчерашний ответ по теме "ALTLinux Sohoserver, nastroiki dlya 
bank-klienta", в котором я привёл пример скрипта настройки iptables. Думаю 
вам многое там будет полезно. 
Я не БОГ, я только учусь ... ;)
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables_settings

[Глазунов Алексей Александрович]

On Fri, 20 Oct 2006 16:41:56 +0400, Artur Yakupov <artur@cint.ru> wrote:

> Подправим так:
>
> -A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 25 -j DNAT
> --to-destination 192.168.0.205:3025
> -A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 110 -j  
> DNAT
> --to-destination 192.168.0.205:3110
> -A POSTROUTING -p tcp --dport 25 -s 192.168.0.205 -o eth0 -j SNAT  
> --to-source
> 213.129.97.252
> -A POSTROUTING -p tcp --dport 110 -s 192.168.0.205 -o eth0 -j SNAT  
> --to-source
> 213.129.97.252

Подправил. Теперь "Дипост" замирает в ожидании чего-то. Ошибок никаких не  
выдаёт.

> в /etc/sysctl.conf добавить
> net.ipv4.ip_forward = 1
>
> и чтобы не перегружаться
> echo 1 > /proc/sys/net/ipv4/ip_forward
>
> в настройках дипоста оставить адрес дипостного сервера 195.98.64.73
>
> Так все вроде должно работать при условии сохранения policy ACCEPT в  
> цепочке FORWARD.
>
Можно поподробней про ACCEPT и FORWARD? Что там надо указать?



-- 
С уважением,
Глазунов Алексей Александрович
Ведущий инженер-программист
Отдел программирования и связи
ОАО "ВОРОНЕЖОБЛГАЗ"
(4732) 51-22-56

Re: [Comm] iptables_settings

[Глазунов Алексей Александрович]

On Fri, 20 Oct 2006 17:14:56 +0400, Шенцев Алексей Владимирович  
<ashen@nsrz.ru> wrote:

> 1) Смотреть tcpdump'ом что твориться на интерфейсах во время соеденения
> дипостом с интернетом.

tcpdump не установлен. apt-get , к сожалению, сломан.

> 2) А кто цепочки FORWARD будет организовывать то?
> 3) У вас не файерол, а одна сплошная дыра. Все ворота открыты настежь,  
> ходи
> кто хочет, куда хочет .... 8)

:-))))) Спасибо за подсказку. К сожалению, буквально сегодня утром я удалил
почти все письма из рассылки. Если не затруднит, вышлите, пожалуйста, это  
письмо на
мой email.

> Посмотрите мой вчерашний ответ по теме "ALTLinux Sohoserver, nastroiki  
> dlya
> bank-klienta", в котором я привёл пример скрипта настройки iptables.  
> Думаю
> вам многое там будет полезно.
> Я не БОГ, я только учусь ... ;)



-- 
С уважением,
Глазунов Алексей Александрович
Ведущий инженер-программист
Отдел программирования и связи
ОАО "ВОРОНЕЖОБЛГАЗ"
(4732) 51-22-56

Re: [Comm] iptables_settings

[Дмитрий Ананьев]

> > 1) Смотреть tcpdump'ом что твориться на интерфейсах во время соеденения
> > дипостом с интернетом.
>
> tcpdump не установлен. apt-get , к сожалению, сломан.
>
rpm используй.


-- 
С уважением, Дмитрий Ананьев
d.ananyev@gmail.com

Re: [Comm] iptables_settings

[Artur Yakupov]

Глазунов Алексей Александрович пишет:
> On Fri, 20 Oct 2006 16:41:56 +0400, Artur Yakupov <artur@cint.ru> wrote:
>
>   
>> Подправим так:
>>
>> -A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 25 -j DNAT
>> --to-destination 192.168.0.205:3025
>> -A PREROUTING -p tcp -s 195.98.64.73 -d 213.129.97.252 --dport 110 -j  
>> DNAT
>> --to-destination 192.168.0.205:3110
>> -A POSTROUTING -p tcp --dport 25 -s 192.168.0.205 -o eth0 -j SNAT  
>> --to-source
>> 213.129.97.252
>> -A POSTROUTING -p tcp --dport 110 -s 192.168.0.205 -o eth0 -j SNAT  
>> --to-source
>> 213.129.97.252
>>     
>
> Подправил. Теперь "Дипост" замирает в ожидании чего-то. Ошибок никаких не  
> выдаёт.
>
>   
>> в /etc/sysctl.conf добавить
>> net.ipv4.ip_forward = 1
>>
>> и чтобы не перегружаться
>> echo 1 > /proc/sys/net/ipv4/ip_forward
>>
>> в настройках дипоста оставить адрес дипостного сервера 195.98.64.73
>>
>> Так все вроде должно работать при условии сохранения policy ACCEPT в  
>> цепочке FORWARD.
>>
>>     
> Можно поподробней про ACCEPT и FORWARD? Что там надо указать?
>
>
>
>   
У Вас на FORWARD по умолчанию политика ACCEPT.
Если ничего не менять - все будет ОК

-- 
------------
С уважением,
Артур Якупов

ЗАО Корпорация Интерсвязь

mailto:artur@cint.ru