forum.opennet.ru - "переброска портов" (30)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"переброска портов"

Форум Открытые системы на сервере (Маршрутизация, NAT / Linux)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"переброска портов"	+/–
Сообщение от czech (ok) on 16-Май-13, 09:44
есть сервер Mandriva Enterprise Server на одной сетевой внешний ip на второй локалка 192.168.0.1 как с внешнего перебосить порт 9000 на локальный 192.168.0.223 т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000 пробовал: sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip -j DNAT --to-destination 192.168.0.223 sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
Ответить \| Правка \| Cообщить модератору

Оглавление

переброска портов, reader, 09:59 , 16-Май-13, (1)
переброска портов, Дядя_Федор, 10:35 , 16-Май-13, (2)

переброска портов, reader, 10:46 , 16-Май-13, (3)

переброска портов, Дядя_Федор, 16:47 , 16-Май-13, (8)

переброска портов, reader, 17:44 , 16-Май-13, (9)
переброска портов, LSTemp, 03:21 , 24-Май-13, (29)

переброска портов, elevator, 10:58 , 16-Май-13, (4)

переброска портов, ALex_hha, 11:35 , 16-Май-13, (5)

переброска портов, elevator, 11:59 , 16-Май-13, (6)

переброска портов, czech, 10:11 , 17-Май-13, (10)

переброска портов, Mr. Mistoffelees, 13:04 , 16-Май-13, (7)

переброска портов, czech, 10:13 , 17-Май-13, (11)

переброска портов, Дядя_Федор, 10:44 , 17-Май-13, (12)

переброска портов, czech, 08:22 , 20-Май-13, (13)

переброска портов, Дядя_Федор, 08:39 , 20-Май-13, (14)

переброска портов, czech, 08:45 , 20-Май-13, (15)

переброска портов, Дядя_Федор, 10:21 , 20-Май-13, (16)

переброска портов, czech, 18:49 , 20-Май-13, (17)

переброска портов, reader, 19:35 , 20-Май-13, (18)

переброска портов, czech, 08:28 , 21-Май-13, (21)

переброска портов, reader, 11:07 , 21-Май-13, (23)

переброска портов, czech, 19:04 , 21-Май-13, (25)
переброска портов, reader, 22:31 , 21-Май-13, (27) +1

переброска портов, Дядя_Федор, 20:53 , 20-Май-13, (19) –1

переброска портов, czech, 08:14 , 21-Май-13, (20)

переброска портов, Дядя_Федор, 08:45 , 21-Май-13, (22)

переброска портов, czech, 18:34 , 21-Май-13, (24)
переброска портов, Дядя_Федор, 20:34 , 21-Май-13, (26) –1
переброска портов, ALex_hha, 11:25 , 22-Май-13, (28) +1
переброска портов, LSTemp, 03:31 , 24-Май-13, (30)

Сообщения по теме [Сортировка по времени | RSS]

1. "переброска портов" +/–

Сообщение от reader (ok) on 16-Май-13, 09:59

> есть сервер Mandriva Enterprise Server
> на одной сетевой внешний ip
> на второй локалка 192.168.0.1
> как с внешнего перебосить порт 9000 на локальный 192.168.0.223
> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000
> пробовал:
> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip
> -j DNAT --to-destination 192.168.0.223
> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
а в другую сторону разрешение и смотрите куда правила добавились, ибо порядок имеет значение

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "переброска портов" +/–

Сообщение от Дядя_Федор on 16-Май-13, 10:35

nat POSTROUTING, однако, забыли. :) Он же - NAT. Чтобы трафик из LAN транслировался во внешний IP.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "переброска портов" +/–

Сообщение от reader (ok) on 16-Май-13, 10:46

> nat POSTROUTING, однако, забыли. :) Он же - NAT. Чтобы трафик из
> LAN транслировался во внешний IP.
nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту, в данном случае помоему такой вероятности нет, а обратная трансляция будет автоматом

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

8. "переброска портов" +/–

Сообщение от Дядя_Федор on 16-Май-13, 16:47

> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту,
> в данном случае помоему такой вероятности нет, а обратная трансляция будет
> автоматом
Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети вида 192.168.0.0/16 не маршрутизируются

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

9. "переброска портов" +/–

Сообщение от reader (ok) on 16-Май-13, 17:44

>> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту,
>> в данном случае помоему такой вероятности нет, а обратная трансляция будет
>> автоматом
>  Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN
> (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети
> вида 192.168.0.0/16 не маршрутизируются
только это относится к выходу локалки ( например 192.168.0.0/16 ) в инет, а не к пробросу с белого ip в локалку. При пробросе snat на WAN не нужен

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

29. "переброска портов" +/–

Сообщение от LSTemp (ok) on 24-Май-13, 03:21

>> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту,
>> в данном случае помоему такой вероятности нет, а обратная трансляция будет
>> автоматом
>  Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN
> (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети
> вида 192.168.0.0/16 не маршрутизируются
подобные проблемы могут возникать при организацмм ДМЗ. при простом НАТе их нет.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

4. "переброска портов" +/–

Сообщение от elevator (ok) on 16-Май-13, 10:58

> есть сервер Mandriva Enterprise Server
> на одной сетевой внешний ip
> на второй локалка 192.168.0.1
> как с внешнего перебосить порт 9000 на локальный 192.168.0.223
> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000
> пробовал:
> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip
> -j DNAT --to-destination 192.168.0.223
> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
--to-destination 192.168.0.223:9000

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "переброска портов" +/–

Сообщение от ALex_hha (ok) on 16-Май-13, 11:35

>> есть сервер Mandriva Enterprise Server
>> на одной сетевой внешний ip
>> на второй локалка 192.168.0.1
>> как с внешнего перебосить порт 9000 на локальный 192.168.0.223
>> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000
>> пробовал:
>> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip
>> -j DNAT --to-destination 192.168.0.223
>> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
> --to-destination 192.168.0.223:9000
нет необходимости явно задавать, если sport и dport совпадают

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "переброска портов" +/–

Сообщение от elevator (ok) on 16-Май-13, 11:59

>[оверквотинг удален]
>>> на одной сетевой внешний ip
>>> на второй локалка 192.168.0.1
>>> как с внешнего перебосить порт 9000 на локальный 192.168.0.223
>>> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000
>>> пробовал:
>>> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip
>>> -j DNAT --to-destination 192.168.0.223
>>> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
>> --to-destination 192.168.0.223:9000
> нет необходимости явно задавать, если sport и dport совпадают
тогда возможно такое, глянул у себя, форвард идет к, а не из -d и --dport

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

10. "переброска портов" +/–

Сообщение от czech (ok) on 17-Май-13, 10:11

> --to-destination 192.168.0.223:9000
sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip -j DNAT --to-destination 192.168.0.223:9000
не дает результата
и просьба довать ответы с полным примером

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "переброска портов" +/–

Сообщение от Mr. Mistoffelees on 16-Май-13, 13:04

Привет,
> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip
> -j DNAT --to-destination 192.168.0.223
Эт' хорошо.
> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT
Эт' надо только если у вас дефолтное полиси в FORWARD отличается от ACCEPT.
А вот это не забыли?
echo "1" > /proc/sys/net/ipv4/ip_forward
WWell,

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "переброска портов" +/–

Сообщение от czech (ok) on 17-Май-13, 10:13

> А вот это не забыли?
> echo "1" > /proc/sys/net/ipv4/ip_forward
где это надо прописать?

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

12. "переброска портов" +/–

Сообщение от Дядя_Федор on 17-Май-13, 10:44

> где это надо прописать?
В консоли, ;%:№"! Если глобально (чтобы не похерилось при перезагрузке), то см. /etc/sysctl.conf - там этот параметр наверняка есть - надо его в "единицу" выставить. Ну и для начала проверить cat /proc/sys/net/ipv4/ip_forward

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

13. "переброска портов" +/–

Сообщение от czech (ok) on 20-Май-13, 08:22

>>cat /proc/sys/net/ipv4/ip_forward
на это выдает 1

вот что в sysctl.conf
====================================================================
# Kernel sysctl configuration file for Mandriva Linux
#
# For binary values, 0 is disabled, 1 is enabled.  See sysctl(8) and
# sysctl.conf(5) for more details.
# Disables IP dynaddr
net.ipv4.ip_dynaddr = 0
# Disable ECN
net.ipv4.tcp_ecn = 0
# Controls source route verification
net.ipv4.conf.default.rp_filter = 1
# Do not accept source routing
net.ipv4.conf.default.accept_source_route = 0
# Controls the System Request debugging functionality of the kernel
#kernel.sysrq = 0
# Controls whether core dumps will append the PID to the core filename.
# Useful for debugging multi-threaded applications.
kernel.core_uses_pid = 1
# If you set this variable to 1 then cd tray will close automatically when the
# cd drive is being accessed.
# Setting this to 1 is not advised when supermount is enabled
# (as it has been known to cause problems)
dev.cdrom.autoclose=1
# removed to fix some digital extraction problems
# dev.cdrom.check_media=1
# to be able to eject via the device eject button (magicdev)
dev.cdrom.lock=0
net.ipv4.icmp_ignore_bogus_error_responses=0
net.ipv4.conf.all.rp_filter=1
net.ipv4.icmp_echo_ignore_broadcasts=0
net.ipv4.icmp_echo_ignore_all=0
net.ipv4.conf.all.log_martians=1
kernel.sysrq=1
====================================================================

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

14. "переброска портов" +/–

Сообщение от Дядя_Федор on 20-Май-13, 08:39

>>>cat /proc/sys/net/ipv4/ip_forward
> на это выдает 1
Значит все нормально. Раз этот параметр не выставляется в sysctl.conf - значит в каком-то другом стартующем скрипте. Например, в скрипте установки начальных правил iptables.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

15. "переброска портов" +/–

Сообщение от czech (ok) on 20-Май-13, 08:45

>>>>cat /proc/sys/net/ipv4/ip_forward
>> на это выдает 1
>  Значит все нормально. Раз этот параметр не выставляется в sysctl.conf -
> значит в каком-то другом стартующем скрипте. Например, в скрипте установки начальных
> правил iptables.
но переброса портов все равно нет

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

16. "переброска портов" +/–

Сообщение от Дядя_Федор on 20-Май-13, 10:21

>  но переброса портов все равно нет
"Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе - слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем. Как вариант - маршрутизация на машине в LAN, к которой Вы пытается присодиниться.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

17. "переброска портов" +/–

Сообщение от czech (ok) on 20-Май-13, 18:49

>>  но переброса портов все равно нет
>  "Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе -
> слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем.
> Как вариант - маршрутизация на машине в LAN, к которой Вы
> пытается присодиниться.
сорри а можно команду как запускать дамп

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

18. "переброска портов" +/–

Сообщение от reader (ok) on 20-Май-13, 19:35

>>>  но переброса портов все равно нет
>>  "Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе -
>> слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем.
>> Как вариант - маршрутизация на машине в LAN, к которой Вы
>> пытается присодиниться.
> сорри а можно команду как запускать дамп
tcpdump -n -i any port 9000
и обращаетесь на внешний ip, вывод сюда. И так же iptables-save уже давно нужно было показать

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

21. "переброска портов" +/–

Сообщение от czech (ok) on 21-Май-13, 08:28

> и обращаетесь на внешний ip, вывод сюда. И так же iptables-save уже
> давно нужно было показать
08:22:09.132687 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK>
08:22:09.132771 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1814992 win 0
08:22:09.584812 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK>
08:22:09.584872 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1 win 0
08:22:10.131690 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK>
08:22:10.131741 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1 win 0
iptables-save
# Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013
*raw
:PREROUTING ACCEPT [30968193:5291718836]
:OUTPUT ACCEPT [22278252:5148751522]
COMMIT
# Completed on Tue May 21 08:24:40 2013
# Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013
*nat
:PREROUTING ACCEPT [2505036:123358820]
:POSTROUTING ACCEPT [6219:490369]
:OUTPUT ACCEPT [6180:488809]
:eth0_masq - [0:0]
-A PREROUTING -d внешний_ip/32 -p tcp -m tcp --dport 9000 -j DNAT --to-destination 192.168.0.223
-A PREROUTING -d внешний_ip/32 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.223:8080
-A POSTROUTING -o eth0 -j eth0_masq
-A eth0_masq -s 192.168.0.0/24 -j MASQUERADE
COMMIT
# Completed on Tue May 21 08:24:40 2013
# Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013
*mangle
:PREROUTING ACCEPT [30968193:5291718836]
:INPUT ACCEPT [22839434:3373888396]
:FORWARD ACCEPT [8126196:1917696066]
:OUTPUT ACCEPT [22278252:5148751522]
:POSTROUTING ACCEPT [30404960:7066585052]
:tcfor - [0:0]
:tcout - [0:0]
:tcpost - [0:0]
:tcpre - [0:0]
-A PREROUTING -j tcpre
-A FORWARD -j tcfor
-A OUTPUT -j tcout
-A POSTROUTING -j tcpost
COMMIT
# Completed on Tue May 21 08:24:40 2013
# Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:Drop - [0:0]
:Ifw - [0:0]
:Reject - [0:0]
:all2fw - [0:0]
:all2loc - [0:0]
:all2net - [0:0]
:dropBcast - [0:0]
:dropInvalid - [0:0]
:dropNotSyn - [0:0]
:dynamic - [0:0]
:eth0_fwd - [0:0]
:eth0_in - [0:0]
:eth0_out - [0:0]
:eth1_fwd - [0:0]
:eth1_in - [0:0]
:eth1_out - [0:0]
:fw2all - [0:0]
:fw2loc - [0:0]
:fw2net - [0:0]
:loc2all - [0:0]
:loc2fw - [0:0]
:loc2net - [0:0]
:logdrop - [0:0]
:logreject - [0:0]
:net2fw - [0:0]
:net2loc - [0:0]
:reject - [0:0]
:shorewall - [0:0]
:smurfs - [0:0]
-A INPUT -j Ifw
-A INPUT -i eth0 -j eth0_in
-A INPUT -i eth1 -j eth1_in
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j Reject
-A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6
-A INPUT -j reject
-A FORWARD -i eth0 -j eth0_fwd
-A FORWARD -i eth1 -j eth1_fwd
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j Reject
-A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6
-A FORWARD -j reject
-A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 9000 -j ACCEPT
-A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 8080 -j ACCEPT
-A OUTPUT -o eth0 -j eth0_out
-A OUTPUT -o eth1 -j eth1_out
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -j Reject
-A OUTPUT -j LOG --log-prefix "Shorewall:OUTPUT:REJECT:" --log-level 6
-A OUTPUT -j reject
-A Drop -p tcp -m tcp --dport 113 -j reject
-A Drop -j dropBcast
-A Drop -p icmp -m icmp --icmp-type 3/4 -j ACCEPT
-A Drop -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A Drop -j dropInvalid
-A Drop -p udp -m multiport --dports 135,445 -j DROP
-A Drop -p udp -m udp --dport 137:139 -j DROP
-A Drop -p udp -m udp --sport 137 --dport 1024:65535 -j DROP
-A Drop -p tcp -m multiport --dports 135,139,445 -j DROP
-A Drop -p udp -m udp --dport 1900 -j DROP
-A Drop -p tcp -j dropNotSyn
-A Drop -p udp -m udp --sport 53 -j DROP
-A Ifw -m set --set ifw_wl src -j RETURN
-A Ifw -m set --set ifw_bl src -j DROP
-A Ifw -m state --state INVALID,NEW -m psd --psd-weight-threshold 10 --psd-delay-threshold 10000 --psd-lo-ports-weight 2 --psd-hi-ports-weight 1 -j IFWLOG --log-prefix "SCAN"
-A Ifw -p udp -m state --state NEW -m udp --dport 53 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 137 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 138 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 139 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 445 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m multiport --dports 1024:1100 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 80 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 443 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 53 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 22 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 20 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 21 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 25 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 109 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 110 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 143 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 137 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 138 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 139 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 445 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m multiport --dports 1024:1100 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 8080 -j IFWLOG --log-prefix "NEW"
-A Reject -p tcp -m tcp --dport 113 -j reject
-A Reject -j dropBcast
-A Reject -p icmp -m icmp --icmp-type 3/4 -j ACCEPT
-A Reject -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A Reject -j dropInvalid
-A Reject -p udp -m multiport --dports 135,445 -j reject
-A Reject -p udp -m udp --dport 137:139 -j reject
-A Reject -p udp -m udp --sport 137 --dport 1024:65535 -j reject
-A Reject -p tcp -m multiport --dports 135,139,445 -j reject
-A Reject -p udp -m udp --dport 1900 -j DROP
-A Reject -p tcp -j dropNotSyn
-A Reject -p udp -m udp --sport 53 -j DROP
-A all2fw -m state --state RELATED,ESTABLISHED -j ACCEPT
-A all2fw -j Reject
-A all2fw -j LOG --log-prefix "Shorewall:all2fw:REJECT:" --log-level 6
-A all2fw -j reject
-A all2loc -m state --state RELATED,ESTABLISHED -j ACCEPT
-A all2loc -j Reject
-A all2loc -j LOG --log-prefix "Shorewall:all2loc:REJECT:" --log-level 6
-A all2loc -j reject
-A all2net -m state --state RELATED,ESTABLISHED -j ACCEPT
-A all2net -j Reject
-A all2net -j LOG --log-prefix "Shorewall:all2net:REJECT:" --log-level 6
-A all2net -j reject
-A dropBcast -m addrtype --dst-type BROADCAST -j DROP
-A dropBcast -d 224.0.0.0/4 -j DROP
-A dropInvalid -m state --state INVALID -j DROP
-A dropNotSyn -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A eth0_fwd -m state --state INVALID,NEW -j dynamic
-A eth0_fwd -o eth1 -j net2loc
-A eth0_in -m state --state INVALID,NEW -j dynamic
-A eth0_in -j net2fw
-A eth0_out -j fw2net
-A eth1_fwd -m state --state INVALID,NEW -j dynamic
-A eth1_fwd -o eth0 -j loc2net
-A eth1_in -m state --state INVALID,NEW -j dynamic
-A eth1_in -j loc2fw
-A eth1_out -j fw2loc
-A fw2all -m state --state RELATED,ESTABLISHED -j ACCEPT
-A fw2all -j Reject
-A fw2all -j LOG --log-prefix "Shorewall:fw2all:REJECT:" --log-level 6
-A fw2all -j reject
-A fw2loc -m state --state RELATED,ESTABLISHED -j ACCEPT
-A fw2loc -j ACCEPT
-A fw2net -m state --state RELATED,ESTABLISHED -j ACCEPT
-A fw2net -j ACCEPT
-A loc2all -m state --state RELATED,ESTABLISHED -j ACCEPT
-A loc2all -j Reject
-A loc2all -j LOG --log-prefix "Shorewall:loc2all:REJECT:" --log-level 6
-A loc2all -j reject
-A loc2fw -m state --state RELATED,ESTABLISHED -j ACCEPT
-A loc2fw -j ACCEPT
-A loc2net -m state --state RELATED,ESTABLISHED -j ACCEPT
-A loc2net -j ACCEPT
-A logdrop -j DROP
-A logreject -j reject
-A net2fw -m state --state RELATED,ESTABLISHED -j ACCEPT
-A net2fw -p udp -m multiport --dports 53,137,138,139,445,8080,1024:1100 -j ACCEPT
-A net2fw -p tcp -m multiport --dports 80,443,53,22,20,21,25,109,110,143,137,138,139,445 -j ACCEPT
-A net2fw -p tcp -m multiport --dports 1024:1100,8080 -j ACCEPT
-A net2fw -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A net2fw -j Drop
-A net2fw -j LOG --log-prefix "Shorewall:net2fw:DROP:" --log-level 6
-A net2fw -j DROP
-A net2loc -m state --state RELATED,ESTABLISHED -j ACCEPT
-A net2loc -j Drop
-A net2loc -j LOG --log-prefix "Shorewall:net2loc:DROP:" --log-level 6
-A net2loc -j DROP
-A reject -m addrtype --src-type BROADCAST -j DROP
-A reject -s 224.0.0.0/4 -j DROP
-A reject -p igmp -j DROP
-A reject -p tcp -j REJECT --reject-with tcp-reset
-A reject -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject -p icmp -j REJECT --reject-with icmp-host-unreachable
-A reject -j REJECT --reject-with icmp-host-prohibited
-A smurfs -s 0.0.0.0/32 -j RETURN
-A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6
-A smurfs -m addrtype --src-type BROADCAST -j DROP
-A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6
-A smurfs -s 224.0.0.0/4 -j DROP
COMMIT
# Completed on Tue May 21 08:24:40 2013

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

23. "переброска портов" +/–

Сообщение от reader (ok) on 21-Май-13, 11:07

>[оверквотинг удален]
> -A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6
> -A INPUT -j reject
> -A FORWARD -i eth0 -j eth0_fwd
> -A FORWARD -i eth1 -j eth1_fwd
> -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A FORWARD -j Reject
> -A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6
> -A FORWARD -j reject
> -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 9000 -j ACCEPT
> -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 8080 -j ACCEPT
правила после  -j reject уже не будут срабатывать, поднимите в начало FORWARD.
в сторону 192.168.0.223 тоже нужно разрешать.
да и проверяете из той же подсети , а при этом есть свои нюансы, читайте пояснения в https://www.opennet.ru/docs/RUS/iptables/#DNATTARGET

>[оверквотинг удален]
> -A reject -p icmp -j REJECT --reject-with icmp-host-unreachable
> -A reject -j REJECT --reject-with icmp-host-prohibited
> -A smurfs -s 0.0.0.0/32 -j RETURN
> -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:"
> --log-level 6
> -A smurfs -m addrtype --src-type BROADCAST -j DROP
> -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6
> -A smurfs -s 224.0.0.0/4 -j DROP
> COMMIT
> # Completed on Tue May 21 08:24:40 2013

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

25. "переброска портов" +/–

Сообщение от czech (ok) on 21-Май-13, 19:04

>[оверквотинг удален]
>> -A reject -p icmp -j REJECT --reject-with icmp-host-unreachable
>> -A reject -j REJECT --reject-with icmp-host-prohibited
>> -A smurfs -s 0.0.0.0/32 -j RETURN
>> -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:"
>> --log-level 6
>> -A smurfs -m addrtype --src-type BROADCAST -j DROP
>> -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6
>> -A smurfs -s 224.0.0.0/4 -j DROP
>> COMMIT
>> # Completed on Tue May 21 08:24:40 2013
странно нет файла /etc/sysconfig/iptables
где могут прятаться настройки?

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

27. "переброска портов" +1 +/–

Сообщение от reader (ok) on 21-Май-13, 22:31

>[оверквотинг удален]
>>> -A smurfs -s 0.0.0.0/32 -j RETURN
>>> -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:"
>>> --log-level 6
>>> -A smurfs -m addrtype --src-type BROADCAST -j DROP
>>> -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6
>>> -A smurfs -s 224.0.0.0/4 -j DROP
>>> COMMIT
>>> # Completed on Tue May 21 08:24:40 2013
> странно нет файла /etc/sysconfig/iptables
> где могут прятаться настройки?
у Вас правила генерит Shorewall, iptables-save > /etc/sysconfig/iptables , Shorewall отключите , а iptables включите , почистите /etc/sysconfig/iptables от хлама и изучайте iptables

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

19. "переброска портов" –1 +/–

Сообщение от Дядя_Федор on 20-Май-13, 20:53

> сорри а можно команду как запускать дамп
Вам бы матчасть поучить, любезнейший, прежде, чем серьезными делами заниматься.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

20. "переброска портов" +/–

Сообщение от czech (ok) on 21-Май-13, 08:14

>> сорри а можно команду как запускать дамп
>  Вам бы матчасть поучить, любезнейший, прежде, чем серьезными делами заниматься.
а кто вам сказал что это серьезное дело? это хобби любезнейший

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

22. "переброска портов" +/–

Сообщение от Дядя_Федор on 21-Май-13, 08:45

> а кто вам сказал что это серьезное дело? это хобби любезнейший
Хобби должно начинаться с чтения документации и освоения команды man.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

24. "переброска портов" +/–

Сообщение от czech (ok) on 21-Май-13, 18:34

>> а кто вам сказал что это серьезное дело? это хобби любезнейший
>  Хобби должно начинаться с чтения документации и освоения команды man.
я очень вам благодарен за технические ответы
но тыкать мне на учебники глупо
вы же заходите на форумы с темой вам не близкой и если каждый раз вам будут тыкать типа почитай мануал или закон - то у вас возникнет вопрос а на кой тогда форум?!
вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из головы эту информацию (у меня ее своей хватает)

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

26. "переброска портов" –1 +/–

Сообщение от Дядя_Федор on 21-Май-13, 20:34

> вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из
> головы эту информацию (у меня ее своей хватает)
Ясно. Удачи. Клинический случай.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

28. "переброска портов" +1 +/–

Сообщение от ALex_hha (ok) on 22-Май-13, 11:25

>>> а кто вам сказал что это серьезное дело? это хобби любезнейший
>>  Хобби должно начинаться с чтения документации и освоения команды man.
> я очень вам благодарен за технические ответы
> но тыкать мне на учебники глупо
> вы же заходите на форумы с темой вам не близкой и если
> каждый раз вам будут тыкать типа почитай мануал или закон -
> то у вас возникнет вопрос а на кой тогда форум?!
> вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из
> головы эту информацию (у меня ее своей хватает)
пора уже привыкнуть, что в мире linux картинка примерно такая - http://i.piccy.info/i7/a45804dd6a832c0369b6854a6c7dd38a/4-59...

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

30. "переброска портов" +/–

Сообщение от LSTemp (ok) on 24-Май-13, 03:31

>>> а кто вам сказал что это серьезное дело? это хобби любезнейший
>>  Хобби должно начинаться с чтения документации и освоения команды man.
> я очень вам благодарен за технические ответы
> но тыкать мне на учебники глупо
> вы же заходите на форумы с темой вам не близкой и если
> каждый раз вам будут тыкать типа почитай мануал или закон -
> то у вас возникнет вопрос а на кой тогда форум?!
> вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из
> головы эту информацию (у меня ее своей хватает)
Не Обижайтесь. Это технический форум и знание обсуждаемого предмета здесь ставится в первую очередь. Хобби - это хорошо, но тыкать Вам на учебники будут. Если интересно - читайте их (я бы даже посоветовал спросить про книги рекомендуемые для чтения в соотвествующем форуме программирование/итд).

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "переброска портов"	+/–
Сообщение от reader (ok) on 16-Май-13, 09:59
> есть сервер Mandriva Enterprise Server > на одной сетевой внешний ip > на второй локалка 192.168.0.1 > как с внешнего перебосить порт 9000 на локальный 192.168.0.223 > т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000 > пробовал: > sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip > -j DNAT --to-destination 192.168.0.223 > sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT а в другую сторону разрешение и смотрите куда правила добавились, ибо порядок имеет значение
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

2. "переброска портов"	+/–
Сообщение от Дядя_Федор on 16-Май-13, 10:35
nat POSTROUTING, однако, забыли. :) Он же - NAT. Чтобы трафик из LAN транслировался во внешний IP.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "переброска портов"	+/–
	Сообщение от reader (ok) on 16-Май-13, 10:46
	> nat POSTROUTING, однако, забыли. :) Он же - NAT. Чтобы трафик из > LAN транслировался во внешний IP. nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту, в данном случае помоему такой вероятности нет, а обратная трансляция будет автоматом
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	8. "переброска портов"	+/–
	Сообщение от Дядя_Федор on 16-Май-13, 16:47
	> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту, > в данном случае помоему такой вероятности нет, а обратная трансляция будет > автоматом Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети вида 192.168.0.0/16 не маршрутизируются
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	9. "переброска портов"	+/–
	Сообщение от reader (ok) on 16-Май-13, 17:44
	>> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту, >> в данном случае помоему такой вероятности нет, а обратная трансляция будет >> автоматом > Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN > (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети > вида 192.168.0.0/16 не маршрутизируются только это относится к выходу локалки ( например 192.168.0.0/16 ) в инет, а не к пробросу с белого ip в локалку. При пробросе snat на WAN не нужен
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	29. "переброска портов"	+/–
	Сообщение от LSTemp (ok) on 24-Май-13, 03:21
	>> nat POSTROUTING нужен если есть вероятность что ответы пойдут по другому маршруту, >> в данном случае помоему такой вероятности нет, а обратная трансляция будет >> автоматом > Да неужели? Если явно не задать трансляцию с LAN-адресов на WAN > (белый IP, если угодно) _ Вас ожидает очень много интересного. Сети > вида 192.168.0.0/16 не маршрутизируются подобные проблемы могут возникать при организацмм ДМЗ. при простом НАТе их нет.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору

4. "переброска портов"	+/–
Сообщение от elevator (ok) on 16-Май-13, 10:58
> есть сервер Mandriva Enterprise Server > на одной сетевой внешний ip > на второй локалка 192.168.0.1 > как с внешнего перебосить порт 9000 на локальный 192.168.0.223 > т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000 > пробовал: > sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip > -j DNAT --to-destination 192.168.0.223 > sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT --to-destination 192.168.0.223:9000
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	5. "переброска портов"	+/–
	Сообщение от ALex_hha (ok) on 16-Май-13, 11:35
	>> есть сервер Mandriva Enterprise Server >> на одной сетевой внешний ip >> на второй локалка 192.168.0.1 >> как с внешнего перебосить порт 9000 на локальный 192.168.0.223 >> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000 >> пробовал: >> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip >> -j DNAT --to-destination 192.168.0.223 >> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT > --to-destination 192.168.0.223:9000 нет необходимости явно задавать, если sport и dport совпадают
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "переброска портов"	+/–
	Сообщение от elevator (ok) on 16-Май-13, 11:59
	>[оверквотинг удален] >>> на одной сетевой внешний ip >>> на второй локалка 192.168.0.1 >>> как с внешнего перебосить порт 9000 на локальный 192.168.0.223 >>> т.е. набирая в интернете внешний_ip:9000 подключиться к 192.168.0.223:9000 >>> пробовал: >>> sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip >>> -j DNAT --to-destination 192.168.0.223 >>> sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT >> --to-destination 192.168.0.223:9000 > нет необходимости явно задавать, если sport и dport совпадают тогда возможно такое, глянул у себя, форвард идет к, а не из -d и --dport
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	10. "переброска портов"	+/–
	Сообщение от czech (ok) on 17-Май-13, 10:11
	> --to-destination 192.168.0.223:9000 sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip -j DNAT --to-destination 192.168.0.223:9000 не дает результата и просьба довать ответы с полным примером
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору

7. "переброска портов"	+/–
Сообщение от Mr. Mistoffelees on 16-Май-13, 13:04
Привет, > sudo iptables -t nat -A PREROUTING -p tcp --dport 9000 -d внешний_ip > -j DNAT --to-destination 192.168.0.223 Эт' хорошо. > sudo iptables -A FORWARD -p tcp --sport 9000 -s 192.168.0.223 -j ACCEPT Эт' надо только если у вас дефолтное полиси в FORWARD отличается от ACCEPT. А вот это не забыли? echo "1" > /proc/sys/net/ipv4/ip_forward WWell,
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	11. "переброска портов"	+/–
	Сообщение от czech (ok) on 17-Май-13, 10:13
	> А вот это не забыли? > echo "1" > /proc/sys/net/ipv4/ip_forward где это надо прописать?
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	12. "переброска портов"	+/–
	Сообщение от Дядя_Федор on 17-Май-13, 10:44
	> где это надо прописать? В консоли, ;%:№"! Если глобально (чтобы не похерилось при перезагрузке), то см. /etc/sysctl.conf - там этот параметр наверняка есть - надо его в "единицу" выставить. Ну и для начала проверить cat /proc/sys/net/ipv4/ip_forward
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	13. "переброска портов"	+/–
	Сообщение от czech (ok) on 20-Май-13, 08:22
	>>cat /proc/sys/net/ipv4/ip_forward на это выдает 1 вот что в sysctl.conf ==================================================================== # Kernel sysctl configuration file for Mandriva Linux # # For binary values, 0 is disabled, 1 is enabled. See sysctl(8) and # sysctl.conf(5) for more details. # Disables IP dynaddr net.ipv4.ip_dynaddr = 0 # Disable ECN net.ipv4.tcp_ecn = 0 # Controls source route verification net.ipv4.conf.default.rp_filter = 1 # Do not accept source routing net.ipv4.conf.default.accept_source_route = 0 # Controls the System Request debugging functionality of the kernel #kernel.sysrq = 0 # Controls whether core dumps will append the PID to the core filename. # Useful for debugging multi-threaded applications. kernel.core_uses_pid = 1 # If you set this variable to 1 then cd tray will close automatically when the # cd drive is being accessed. # Setting this to 1 is not advised when supermount is enabled # (as it has been known to cause problems) dev.cdrom.autoclose=1 # removed to fix some digital extraction problems # dev.cdrom.check_media=1 # to be able to eject via the device eject button (magicdev) dev.cdrom.lock=0 net.ipv4.icmp_ignore_bogus_error_responses=0 net.ipv4.conf.all.rp_filter=1 net.ipv4.icmp_echo_ignore_broadcasts=0 net.ipv4.icmp_echo_ignore_all=0 net.ipv4.conf.all.log_martians=1 kernel.sysrq=1 ====================================================================
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	14. "переброска портов"	+/–
	Сообщение от Дядя_Федор on 20-Май-13, 08:39
	>>>cat /proc/sys/net/ipv4/ip_forward > на это выдает 1 Значит все нормально. Раз этот параметр не выставляется в sysctl.conf - значит в каком-то другом стартующем скрипте. Например, в скрипте установки начальных правил iptables.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	15. "переброска портов"	+/–
	Сообщение от czech (ok) on 20-Май-13, 08:45
	>>>>cat /proc/sys/net/ipv4/ip_forward >> на это выдает 1 > Значит все нормально. Раз этот параметр не выставляется в sysctl.conf - > значит в каком-то другом стартующем скрипте. Например, в скрипте установки начальных > правил iptables. но переброса портов все равно нет
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	16. "переброска портов"	+/–
	Сообщение от Дядя_Федор on 20-Май-13, 10:21
	> но переброса портов все равно нет "Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе - слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем. Как вариант - маршрутизация на машине в LAN, к которой Вы пытается присодиниться.
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	17. "переброска портов"	+/–
	Сообщение от czech (ok) on 20-Май-13, 18:49
	>> но переброса портов все равно нет > "Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе - > слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем. > Как вариант - маршрутизация на машине в LAN, к которой Вы > пытается присодиниться. сорри а можно команду как запускать дамп
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	18. "переброска портов"	+/–
	Сообщение от reader (ok) on 20-Май-13, 19:35
	>>> но переброса портов все равно нет >> "Уж сколько раз твердили миру". Запускает тцпдамп на внешнем интерфейсе - >> слушаем, потом - на внутреннем интерфейсе, слушаем. После чего - думаем. >> Как вариант - маршрутизация на машине в LAN, к которой Вы >> пытается присодиниться. > сорри а можно команду как запускать дамп tcpdump -n -i any port 9000 и обращаетесь на внешний ip, вывод сюда. И так же iptables-save уже давно нужно было показать
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	21. "переброска портов"	+/–
	Сообщение от czech (ok) on 21-Май-13, 08:28
	> и обращаетесь на внешний ip, вывод сюда. И так же iptables-save уже > давно нужно было показать 08:22:09.132687 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK> 08:22:09.132771 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1814992 win 0 08:22:09.584812 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK> 08:22:09.584872 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1 win 0 08:22:10.131690 IP 192.168.0.5.1162 > внешний_ip.9000: S 1814991:1814991(0) win 65535 <mss 1460,nop,nop,sackOK> 08:22:10.131741 IP внешний_ip.9000 > 192.168.0.5.1162: R 0:0(0) ack 1 win 0 iptables-save # Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013 raw :PREROUTING ACCEPT [30968193:5291718836] :OUTPUT ACCEPT [22278252:5148751522] COMMIT # Completed on Tue May 21 08:24:40 2013 # Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013 nat :PREROUTING ACCEPT [2505036:123358820] :POSTROUTING ACCEPT [6219:490369] :OUTPUT ACCEPT [6180:488809] :eth0_masq - [0:0] -A PREROUTING -d внешний_ip/32 -p tcp -m tcp --dport 9000 -j DNAT --to-destination 192.168.0.223 -A PREROUTING -d внешний_ip/32 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.0.223:8080 -A POSTROUTING -o eth0 -j eth0_masq -A eth0_masq -s 192.168.0.0/24 -j MASQUERADE COMMIT # Completed on Tue May 21 08:24:40 2013 # Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013 mangle :PREROUTING ACCEPT [30968193:5291718836] :INPUT ACCEPT [22839434:3373888396] :FORWARD ACCEPT [8126196:1917696066] :OUTPUT ACCEPT [22278252:5148751522] :POSTROUTING ACCEPT [30404960:7066585052] :tcfor - [0:0] :tcout - [0:0] :tcpost - [0:0] :tcpre - [0:0] -A PREROUTING -j tcpre -A FORWARD -j tcfor -A OUTPUT -j tcout -A POSTROUTING -j tcpost COMMIT # Completed on Tue May 21 08:24:40 2013 # Generated by iptables-save v1.4.1.1 on Tue May 21 08:24:40 2013 filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] :Drop - [0:0] :Ifw - [0:0] :Reject - [0:0] :all2fw - [0:0] :all2loc - [0:0] :all2net - [0:0] :dropBcast - [0:0] :dropInvalid - [0:0] :dropNotSyn - [0:0] :dynamic - [0:0] :eth0_fwd - [0:0] :eth0_in - [0:0] :eth0_out - [0:0] :eth1_fwd - [0:0] :eth1_in - [0:0] :eth1_out - [0:0] :fw2all - [0:0] :fw2loc - [0:0] :fw2net - [0:0] :loc2all - [0:0] :loc2fw - [0:0] :loc2net - [0:0] :logdrop - [0:0] :logreject - [0:0] :net2fw - [0:0] :net2loc - [0:0] :reject - [0:0] :shorewall - [0:0] :smurfs - [0:0] -A INPUT -j Ifw -A INPUT -i eth0 -j eth0_in -A INPUT -i eth1 -j eth1_in -A INPUT -i lo -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -j Reject -A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6 -A INPUT -j reject -A FORWARD -i eth0 -j eth0_fwd -A FORWARD -i eth1 -j eth1_fwd -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -j Reject -A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6 -A FORWARD -j reject -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 9000 -j ACCEPT -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 8080 -j ACCEPT -A OUTPUT -o eth0 -j eth0_out -A OUTPUT -o eth1 -j eth1_out -A OUTPUT -o lo -j ACCEPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -j Reject -A OUTPUT -j LOG --log-prefix "Shorewall:OUTPUT:REJECT:" --log-level 6 -A OUTPUT -j reject -A Drop -p tcp -m tcp --dport 113 -j reject -A Drop -j dropBcast -A Drop -p icmp -m icmp --icmp-type 3/4 -j ACCEPT -A Drop -p icmp -m icmp --icmp-type 11 -j ACCEPT -A Drop -j dropInvalid -A Drop -p udp -m multiport --dports 135,445 -j DROP -A Drop -p udp -m udp --dport 137:139 -j DROP -A Drop -p udp -m udp --sport 137 --dport 1024:65535 -j DROP -A Drop -p tcp -m multiport --dports 135,139,445 -j DROP -A Drop -p udp -m udp --dport 1900 -j DROP -A Drop -p tcp -j dropNotSyn -A Drop -p udp -m udp --sport 53 -j DROP -A Ifw -m set --set ifw_wl src -j RETURN -A Ifw -m set --set ifw_bl src -j DROP -A Ifw -m state --state INVALID,NEW -m psd --psd-weight-threshold 10 --psd-delay-threshold 10000 --psd-lo-ports-weight 2 --psd-hi-ports-weight 1 -j IFWLOG --log-prefix "SCAN" -A Ifw -p udp -m state --state NEW -m udp --dport 53 -j IFWLOG --log-prefix "NEW" -A Ifw -p udp -m state --state NEW -m udp --dport 137 -j IFWLOG --log-prefix "NEW" -A Ifw -p udp -m state --state NEW -m udp --dport 138 -j IFWLOG --log-prefix "NEW" -A Ifw -p udp -m state --state NEW -m udp --dport 139 -j IFWLOG --log-prefix "NEW" -A Ifw -p udp -m state --state NEW -m udp --dport 445 -j IFWLOG --log-prefix "NEW" -A Ifw -p udp -m state --state NEW -m multiport --dports 1024:1100 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 80 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 443 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 53 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 22 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 20 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 21 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 25 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 109 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 110 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 143 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 137 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 138 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 139 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 445 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m multiport --dports 1024:1100 -j IFWLOG --log-prefix "NEW" -A Ifw -p tcp -m state --state NEW -m tcp --dport 8080 -j IFWLOG --log-prefix "NEW" -A Reject -p tcp -m tcp --dport 113 -j reject -A Reject -j dropBcast -A Reject -p icmp -m icmp --icmp-type 3/4 -j ACCEPT -A Reject -p icmp -m icmp --icmp-type 11 -j ACCEPT -A Reject -j dropInvalid -A Reject -p udp -m multiport --dports 135,445 -j reject -A Reject -p udp -m udp --dport 137:139 -j reject -A Reject -p udp -m udp --sport 137 --dport 1024:65535 -j reject -A Reject -p tcp -m multiport --dports 135,139,445 -j reject -A Reject -p udp -m udp --dport 1900 -j DROP -A Reject -p tcp -j dropNotSyn -A Reject -p udp -m udp --sport 53 -j DROP -A all2fw -m state --state RELATED,ESTABLISHED -j ACCEPT -A all2fw -j Reject -A all2fw -j LOG --log-prefix "Shorewall:all2fw:REJECT:" --log-level 6 -A all2fw -j reject -A all2loc -m state --state RELATED,ESTABLISHED -j ACCEPT -A all2loc -j Reject -A all2loc -j LOG --log-prefix "Shorewall:all2loc:REJECT:" --log-level 6 -A all2loc -j reject -A all2net -m state --state RELATED,ESTABLISHED -j ACCEPT -A all2net -j Reject -A all2net -j LOG --log-prefix "Shorewall:all2net:REJECT:" --log-level 6 -A all2net -j reject -A dropBcast -m addrtype --dst-type BROADCAST -j DROP -A dropBcast -d 224.0.0.0/4 -j DROP -A dropInvalid -m state --state INVALID -j DROP -A dropNotSyn -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP -A eth0_fwd -m state --state INVALID,NEW -j dynamic -A eth0_fwd -o eth1 -j net2loc -A eth0_in -m state --state INVALID,NEW -j dynamic -A eth0_in -j net2fw -A eth0_out -j fw2net -A eth1_fwd -m state --state INVALID,NEW -j dynamic -A eth1_fwd -o eth0 -j loc2net -A eth1_in -m state --state INVALID,NEW -j dynamic -A eth1_in -j loc2fw -A eth1_out -j fw2loc -A fw2all -m state --state RELATED,ESTABLISHED -j ACCEPT -A fw2all -j Reject -A fw2all -j LOG --log-prefix "Shorewall:fw2all:REJECT:" --log-level 6 -A fw2all -j reject -A fw2loc -m state --state RELATED,ESTABLISHED -j ACCEPT -A fw2loc -j ACCEPT -A fw2net -m state --state RELATED,ESTABLISHED -j ACCEPT -A fw2net -j ACCEPT -A loc2all -m state --state RELATED,ESTABLISHED -j ACCEPT -A loc2all -j Reject -A loc2all -j LOG --log-prefix "Shorewall:loc2all:REJECT:" --log-level 6 -A loc2all -j reject -A loc2fw -m state --state RELATED,ESTABLISHED -j ACCEPT -A loc2fw -j ACCEPT -A loc2net -m state --state RELATED,ESTABLISHED -j ACCEPT -A loc2net -j ACCEPT -A logdrop -j DROP -A logreject -j reject -A net2fw -m state --state RELATED,ESTABLISHED -j ACCEPT -A net2fw -p udp -m multiport --dports 53,137,138,139,445,8080,1024:1100 -j ACCEPT -A net2fw -p tcp -m multiport --dports 80,443,53,22,20,21,25,109,110,143,137,138,139,445 -j ACCEPT -A net2fw -p tcp -m multiport --dports 1024:1100,8080 -j ACCEPT -A net2fw -p icmp -m icmp --icmp-type 8 -j ACCEPT -A net2fw -j Drop -A net2fw -j LOG --log-prefix "Shorewall:net2fw:DROP:" --log-level 6 -A net2fw -j DROP -A net2loc -m state --state RELATED,ESTABLISHED -j ACCEPT -A net2loc -j Drop -A net2loc -j LOG --log-prefix "Shorewall:net2loc:DROP:" --log-level 6 -A net2loc -j DROP -A reject -m addrtype --src-type BROADCAST -j DROP -A reject -s 224.0.0.0/4 -j DROP -A reject -p igmp -j DROP -A reject -p tcp -j REJECT --reject-with tcp-reset -A reject -p udp -j REJECT --reject-with icmp-port-unreachable -A reject -p icmp -j REJECT --reject-with icmp-host-unreachable -A reject -j REJECT --reject-with icmp-host-prohibited -A smurfs -s 0.0.0.0/32 -j RETURN -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6 -A smurfs -m addrtype --src-type BROADCAST -j DROP -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6 -A smurfs -s 224.0.0.0/4 -j DROP COMMIT # Completed on Tue May 21 08:24:40 2013
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	23. "переброска портов"	+/–
	Сообщение от reader (ok) on 21-Май-13, 11:07
	>[оверквотинг удален] > -A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6 > -A INPUT -j reject > -A FORWARD -i eth0 -j eth0_fwd > -A FORWARD -i eth1 -j eth1_fwd > -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT > -A FORWARD -j Reject > -A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6 > -A FORWARD -j reject > -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 9000 -j ACCEPT > -A FORWARD -s 192.168.0.223/32 -p tcp -m tcp --sport 8080 -j ACCEPT правила после -j reject уже не будут срабатывать, поднимите в начало FORWARD. в сторону 192.168.0.223 тоже нужно разрешать. да и проверяете из той же подсети , а при этом есть свои нюансы, читайте пояснения в https://www.opennet.ru/docs/RUS/iptables/#DNATTARGET >[оверквотинг удален] > -A reject -p icmp -j REJECT --reject-with icmp-host-unreachable > -A reject -j REJECT --reject-with icmp-host-prohibited > -A smurfs -s 0.0.0.0/32 -j RETURN > -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:" > --log-level 6 > -A smurfs -m addrtype --src-type BROADCAST -j DROP > -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6 > -A smurfs -s 224.0.0.0/4 -j DROP > COMMIT > # Completed on Tue May 21 08:24:40 2013
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	25. "переброска портов"	+/–
	Сообщение от czech (ok) on 21-Май-13, 19:04
	>[оверквотинг удален] >> -A reject -p icmp -j REJECT --reject-with icmp-host-unreachable >> -A reject -j REJECT --reject-with icmp-host-prohibited >> -A smurfs -s 0.0.0.0/32 -j RETURN >> -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:" >> --log-level 6 >> -A smurfs -m addrtype --src-type BROADCAST -j DROP >> -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6 >> -A smurfs -s 224.0.0.0/4 -j DROP >> COMMIT >> # Completed on Tue May 21 08:24:40 2013 странно нет файла /etc/sysconfig/iptables где могут прятаться настройки?
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	27. "переброска портов"	+1 +/–
	Сообщение от reader (ok) on 21-Май-13, 22:31
	>[оверквотинг удален] >>> -A smurfs -s 0.0.0.0/32 -j RETURN >>> -A smurfs -m addrtype --src-type BROADCAST -j LOG --log-prefix "Shorewall:smurfs:DROP:" >>> --log-level 6 >>> -A smurfs -m addrtype --src-type BROADCAST -j DROP >>> -A smurfs -s 224.0.0.0/4 -j LOG --log-prefix "Shorewall:smurfs:DROP:" --log-level 6 >>> -A smurfs -s 224.0.0.0/4 -j DROP >>> COMMIT >>> # Completed on Tue May 21 08:24:40 2013 > странно нет файла /etc/sysconfig/iptables > где могут прятаться настройки? у Вас правила генерит Shorewall, iptables-save > /etc/sysconfig/iptables , Shorewall отключите , а iptables включите , почистите /etc/sysconfig/iptables от хлама и изучайте iptables
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	19. "переброска портов"	–1 +/–
	Сообщение от Дядя_Федор on 20-Май-13, 20:53
	> сорри а можно команду как запускать дамп Вам бы матчасть поучить, любезнейший, прежде, чем серьезными делами заниматься.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	20. "переброска портов"	+/–
	Сообщение от czech (ok) on 21-Май-13, 08:14
	>> сорри а можно команду как запускать дамп > Вам бы матчасть поучить, любезнейший, прежде, чем серьезными делами заниматься. а кто вам сказал что это серьезное дело? это хобби любезнейший
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	22. "переброска портов"	+/–
	Сообщение от Дядя_Федор on 21-Май-13, 08:45
	> а кто вам сказал что это серьезное дело? это хобби любезнейший Хобби должно начинаться с чтения документации и освоения команды man.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	24. "переброска портов"	+/–
	Сообщение от czech (ok) on 21-Май-13, 18:34
	>> а кто вам сказал что это серьезное дело? это хобби любезнейший > Хобби должно начинаться с чтения документации и освоения команды man. я очень вам благодарен за технические ответы но тыкать мне на учебники глупо вы же заходите на форумы с темой вам не близкой и если каждый раз вам будут тыкать типа почитай мануал или закон - то у вас возникнет вопрос а на кой тогда форум?! вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из головы эту информацию (у меня ее своей хватает)
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	26. "переброска портов"	–1 +/–
	Сообщение от Дядя_Федор on 21-Май-13, 20:34
	> вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из > головы эту информацию (у меня ее своей хватает) Ясно. Удачи. Клинический случай.
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	28. "переброска портов"	+1 +/–
	Сообщение от ALex_hha (ok) on 22-Май-13, 11:25
	>>> а кто вам сказал что это серьезное дело? это хобби любезнейший >> Хобби должно начинаться с чтения документации и освоения команды man. > я очень вам благодарен за технические ответы > но тыкать мне на учебники глупо > вы же заходите на форумы с темой вам не близкой и если > каждый раз вам будут тыкать типа почитай мануал или закон - > то у вас возникнет вопрос а на кой тогда форум?! > вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из > головы эту информацию (у меня ее своей хватает) пора уже привыкнуть, что в мире linux картинка примерно такая - http://i.piccy.info/i7/a45804dd6a832c0369b6854a6c7dd38a/4-59...
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	30. "переброска портов"	+/–
	Сообщение от LSTemp (ok) on 24-Май-13, 03:31
	>>> а кто вам сказал что это серьезное дело? это хобби любезнейший >> Хобби должно начинаться с чтения документации и освоения команды man. > я очень вам благодарен за технические ответы > но тыкать мне на учебники глупо > вы же заходите на форумы с темой вам не близкой и если > каждый раз вам будут тыкать типа почитай мануал или закон - > то у вас возникнет вопрос а на кой тогда форум?! > вот на хрена мне читать мануалы?! мне надо настроить и выкинуть из > головы эту информацию (у меня ее своей хватает) Не Обижайтесь. Это технический форум и знание обсуждаемого предмета здесь ставится в первую очередь. Хобби - это хорошо, но тыкать Вам на учебники будут. Если интересно - читайте их (я бы даже посоветовал спросить про книги рекомендуемые для чтения в соотвествующем форуме программирование/итд).
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору