--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

никак не догоню про iptables

4
34
С друзьями на NN.RU
В социальных сетях
Поделиться
Yden
27.12.2007
есть комп с двумя сетевыми интерфейсами один в локалку другой к провайдеру на убунте 7.1 desktop настроены сервера
DHCP SAMBA SQUID всё прекрасно работает , нужно сделать прямой шлюзование некоторых портов из локалки в инет прочитал много чего по iptables всё впринципе понятно как настрить таблицу проблема в следующем когда добавляю что то в iptables ничего не добавляется команда iptables-save ничего не выдаёт , если пытаться востановить готовый конфиг появляется ошибка не могу иницилизировать нат почитал что надо включить форвардинг добавить некоторые модули в rc.local ничего не помогает напишите чего и где ещё надо прописать чтоб нат заработал

думаю ладно если у самого не хватает опыта обману
iptables поставил к нему гуй firestarter настроил всё заработало думаю сохраню конфиг и подправлю его как мне надо набираю команду iptables-save опять пустой лист в чём дело что я не так далеаю ?????
Warwar
27.12.2007
что б вам включить нат, если он не был вкомпилен в ядро ранее - надо пересобрать ядро...
только я вот что-то не совсем понял, как у вас все это БЕЗ ната работало?..
адреса в локалке реальные что ли? или как?
если реальные, то что значит "сделать прямой шлюзование некоторых портов из локалки в инет"?
если НЕ реальные, то, опять же, оно без ната не должно было работать в принципе...
поделитесь, как у вас чего настроено...
# iptables -L -t nat -n
и
# lsmod | grep nat
что выдает?
Yden
27.12.2007
ээээ может каряво написал
вобщем стоит сквид настроен раздаёт http всё ok
пытался сделать по умному прочитал про iptables как настроить таблицу вроде бы всё понял пробую сделать если востанавливаю из файла то выдаёт ошибку что могу ицилизировать нат если просто в консоли набиваю команду скажем вот такую
sudo iptables -t nat -A POSTROUTING -s ******* и так далее ошибок не выдаёт но если оптом набрать iptables-save >/home/ то выдаёт чистый лист никаких правил нет

А работает когда настроешь это всё через firestarter гуй к iptables но даже после это если набрать iptables-save >/home/ всё равно чистый лист
Yden
27.12.2007
den@server:~$ sudo iptables -L -t nat -n
[sudo] password for den:
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination



den@server:~$ lsmod | grep nat
iptable_nat 8708 0
nf_nat 20140 1 iptable_nat
nf_conntrack_ipv4 19724 2 iptable_nat
nf_conntrack 65288 3 iptable_nat,nf_nat,nf_conntrack_ipv4
nfnetlink 6936 3 nf_nat,nf_conntrack_ipv4,nf_conntrack
ip_tables 13924 1 iptable_nat
x_tables 16260 2 iptable_nat,ip_tables
Warwar
27.12.2007
гут... а теперь пробуйте вставить команду, а потом смотреть, что прописалось в таблице...
если вам надо пробросить порт, то команды выглядит примерно так:
# sudo iptables -t nat -A PREROUTING -p tcp --destination-port 64686 -j DNAT --to-destination 10.0.0.4:64686
это проброс порта на внутреннюю машину для торрента
вам примерно это надо?
если надо изнутри что-то наружу выпускать, то ключевое будет:
# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to $IPADDR
добавить по вкусу все остальное )
у меня это правило стоит просто что б люди в нет ходили
сквида нет
Yden
27.12.2007
вообще всё это нужно чтоб дать людям инет в локалке есть офис из 20 машин с убунтой squid стоит чтоб раздать http и иметь возможность ограничить его использование для всего остального хотел использовать iptables почта аська удалённый рабочий стол с офисом в другом городе
Warwar
27.12.2007
ну так используйте )
Warwar
27.12.2007
****
да забудьте вы про этот save/restore... точно так же, как и про гуй...
выполните команды, которые я выше напсал и киньте сюда, что они выводят...
в ядре про нат все включено?..
Yden
27.12.2007
так я как раз и не хочу гуем пользоваться иначе ничего не поёмёшь
Warwar
27.12.2007
а чего вы командой "sudo iptables -t nat -A POSTROUTING -s *******" сделать пытаетесь?
Yden
27.12.2007
да я так как пример её просто тут написал
Mihalych
27.12.2007
Yden писал(а)
почитал что надо включить форвардинг

То есть делал:

echo 1 > /proc/sys/net/ipv4/ip_forward
Yden
27.12.2007
да именно это и делал
Yden
27.12.2007
у этого файла доступ только на чтение и изменить его нельзя как же тогда добавить туда "1"
Yden
27.12.2007
делаю под рутом естественно
Warwar
27.12.2007
это не совем "файл"... надо выполнять команду именно так, как она представлена, при каждом запуске системы (обычно в rc.local) прописть там "1" навечно не получится...
/proc - виртуальная фс, создается каждый раз при заргузке системы, физически НЕ существует...
-rw-r--r-- 1 root root 0 Dec 27 12:14 /proc/sys/net/ipv4/ip_forward
это почему только чтение???
сделайте:
# mount | grep proc
и вывод сюда... так же как и
# ls -al /proc/sys/net/ipv4/ip_forward
Yden
27.12.2007
когда выполняю команду так как она представлена выводится сообщение доступ запрещён
Warwar
27.12.2007
две команды из поста выполните
Yden
27.12.2007
den@server:~$ mount | grep proc
proc on /proc type proc (rw,noexec,nosuid,nodev)
nfsd on /proc/fs/nfsd type nfsd (rw)


den@server:~$ ls -al /proc/sys/net/ipv4/ip_forward
-rw-r--r-- 1 root root 0 2007-12-27 12:14 /proc/sys/net/ipv4/ip_forward


den@server:~$ echo 1 > /proc/sys/net/ipv4/ip_forward
bash: /proc/sys/net/ipv4/ip_forward: Permission denied
Yden
27.12.2007
в ip tables хочу прописать вот это eth2 инет eth0 локалка

-A POSTROUTING -o eth2 -j MASQUERADE


-A INPUT -i eth2 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j LOG --log-level 7 --log-tcp-options
-A INPUT -i eth2 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -s 10.0.7.0/24 -p icmp -i eth0 -j ACCEPT
-A FORWARD -d 10.0.7.0/24 -p icmp -o eth0 -j ACCEPT
-A FORWARD -s 10.0.7.0/24 -p udp -m udp --dport 53 -i eth0 -j ACCEPT
-A FORWARD -d 10.0.7.0/24 -p udp -m udp --sport 53 -o eth0 -j ACCEPT
-A FORWARD -s 10.0.7.0/24 -p tcp -m multiport --dports 25,110,85 -i eth0 -j ACCEPT
-A FORWARD -d 10.0.7.0/24 -p tcp -m multiport --sports 25,110,85 -o eth0 -j ACCEPT
-A FORWARD -s 10.0.7.0/24 -p ! icmp -m state --state INVALID -i eth0 -j DROP
-A FORWARD -d 10.0.7.0/24 -p ! icmp -m state --state INVALID -o eth0 -j DROP
-A FORWARD -o eth2 -j DROP
-A FORWARD -o eth0 -j DROP
Warwar
27.12.2007
не дадут мне соврать... но нат и маскард это не одно и то же... вы уж определитесь, чем будете пользоваться...
прогнал....
MASQUERADE
This target is only valid in the nat table, in the POSTROUTING chain. It should only be used with dynamically assigned IP (dialup) connections: if you have a static IP address, you should use the SNAT target.
Warwar
27.12.2007
если ставите правила ACCEPT, то надо менять дефолтную политику на DENY
Warwar
27.12.2007
# sudo echo 1 > /proc/sys/net/ipv4/ip_forward
как я понимаю, den - не root
57EA17h
27.12.2007
насчет включить форвардинг всегда =
можно не делать echo в rc.local, а в /etc/sysctl.conf просто написать:
net.ipv4.ip_forward = 1

И еще мысля насчет iptables'ов.. Не знаю как в убунте( т.к. никогда ей не пользовался, работаю с клонами редхата), но может надо запустить iptables? (т.е. если на примере редхата, то service iptables start, ну или /etc/init.d/iptables start)
Warwar
27.12.2007
57EA17h писал(а)
в /etc/sysctl.conf просто написать:
net.ipv4.ip_forward = 1

да... забыл... ) я имел ввиду лишь то, что в /proc прописать низя
Yden
27.12.2007
в убунте эта строчка немного изменена ?
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.conf.default.forwarding=1
или надо добавить именно такую
net.ipv4.ip_forward = 1

и ещё глупый вопрос когда это сделаешь в файле
/proc/sys/net/ipv4/ip_forward "1" должна появляться или нет у меня после включения и перезагрузки "1" та мне появилась пришлосоь снова набирать
sudo echo 1 > /proc/sys/net/ipv4/ip_forward
Warwar
27.12.2007
да, после перезагрузки ее надо опять вводить, или прописать в rc.local или в sysctl.conf
если в sysctl.conf имеется другая строчка, которая вроде бы для этого, то попробуйте просто ее раскоментировать, ибо она из этой системы, а я лично говорил исходя из RH
хмм... /proc/sys/net/ipv4/conf/default/forwarding у меня тоже есть... есть подозрение, что это одно и то же ) ну или выпоняет одну и ту же работу...
Saul
27.12.2007
Для Ubuntu есть хороший пакет ipmasq - суть iptables с хорошим набором правил по умолчанию для типовой ситуации. Когда некогда или лень разбираться - поставил и идешь Новый Год праздновать :)
Yden
27.12.2007
блин я навернео не ищу лёгких путей хотелось всё же разобраться :-)
9999
27.12.2007
Без наезда. Вот есть хорошая дока www.opennet.ru/docs/RUS/iptables/ . Пока не прочитал пару раз в голове такая каша была, хоть бросай все стенки вместе взятые и переходи опять на винду...
Yden
27.12.2007
спасибо огромное за статью
Yden
27.12.2007
Всем спасибо за участие и помощь и подсказки всё заработало разобрался наконец то
57EA17h
27.12.2007
Ну так раскажи плз, почему у тебя не натилось сначала.
Yden
28.12.2007
не работало из-за того что sudo echo 1 > /proc/sys/net/ipv4/ip_forward писал от пользователя den который имеет права админа и был создан при установки системы т.е den@server а эту команду можно выполнить только от root@server так же как и ввод данных в саму таблицу фишка в том что когда данные вводишь от den@server то ошибок не каких не возникает и ничего не работает из-за этого возникло недопонимание
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.