Ощущается как +11

3 м/с южный.

Новая тема

Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.

Список тем

Линуксоиды!!! Помогите порт пробросить из локалки наружу

С друзьями на NN.RU

У вас пока нет друзей на NN.RU, поэтому ссылка на тему не может быть отправлена.

Воспользуйтесь поиском, чтобы найти новых друзей.

В социальных сетях

Atom

02.09.2008

Да помоги-те же ламеру в Линуксе!

Нашел в нете
# iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j DNAT --to-destination $LOCAL_IP:$PORT2
# iptables -A FORWARD -i eth0 -d $LOCAL_IP -p tcp --dport $PORT2 -j ACCEPT

будет работать? Куда это все дописывать надобно?

PS Задача: есть локалка, инет раздается линуксовым сервером, надо порт мини АТС высунуть наружу, но так, чтобы он был доступен только с конкретногo IP

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Mihalych

02.09.2008

$IPTABLES -t nat -A PREROUTING -p tcp -s <конкретный IP> --dport <нужный номер порта> -j DNAT --to <IP которому отдаешь>
$IPTABLES -t nat -A POSTROUTING -s <IP которому отдаешь> -d <конкретный IP> -o $EXT_IFACE -j SNAT --to $EXT_IP

Наверное так.
Поправьте случай чо.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Atom

02.09.2008

заработало!!!!
тока я в свой вариант просто добавил -s с IP, откуда нужен доступ...

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Mihalych

02.09.2008

Atom писал(а)
просто добавил -s с IP, откуда нужен доступ...

В случае с указанием конкретного порта просто ограничиваешь клиента только одним сервисом. Как бы больше секретности получается.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

02.09.2008

iptables -t nat -A PREROUTING -p tcp -i имя инет интерфейса -d внешний ip адрес --dport номер порта на который будешь коннектиц0 -j DNAT --to-destination ip АТС:порт АТС
iptables -A FROWARD -p tcp -i имя инет интерфейса -d ip АТС -j ACCEPT
iptables -t nat -A POSTROUTING -o имя инет интерфейса -s ip АТС -j MASQUERADE
Я типа вот как-то так бы сделал, еще надо ip_forward в 1 перевести.
Но вообще надо первым правилом во всех цепочках ставить ACCEPT со стайтом Естаблишед и релайтед и грузить модули к ядру типа ip_nat_* и ip_conntrack_* а в приведенных правилах использовать стэйт NEW.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Atom

02.09.2008

нифига не понял :))))

вот я две строчки привел. С ними что не так? Все работает.
Тока в качестве source указал IP, с какого разрешено ломиться. Чем такой вариант плох?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

02.09.2008

В них все так, раз работает, но по крестьянски :)
Я кстати привел три строчки :)
Но есть несколько но которые я еще добавил, кстати на АТС еще шлюзом должен быть прописан ip этой машины внутренний.
Читай долго и вдумчиво перед сном iptables tutorials :)

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

a126

04.09.2008

Маскарадить необязательно в iptables, достаточно указать в построутинге за какой IP прятать. И вообще маскарадинг уходит вместе с IPCHAINS.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanych

04.09.2008

a126 писал(а)
И вообще маскарадинг уходит вместе с IPCHAINS.

А как же vpn с динамическими адресами?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Stinky

04.09.2008

Дык, известно как. Перегружать правила скриптами при каждом поднятии/опускании интерфейса и изменении IP - это труЪ. :-D

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanych

05.09.2008

ну в общем-то логично, хотя и не слишком удобно, ну пока эту возможность из netfilter не убрали, можно и пользоваться

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Stinky

05.09.2008

Ну там если чо смайл стоит. :) Я к тому что не согласен я с мнением про уход маскарадинга. Бредятина это.
Собсно, с учетом того что SNAT в чейнсах тоже имелся, получается что его тоже нах. Да и еще много чего. Только не понятно на что тогда заменять.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

DenisOil

02.09.2008

в серверных версиях, на скока я понимаю, модули грузятся автоматом. По крайней мере не ругается асп 5 сервер на эти строчки. Модули не грузил.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

03.09.2008

Так он только основные модули типа ip_nat и ip_conntracc грузит автоматом и поэтому ругани нет. А специфические для протоколов типа ip_nat_ftp и ip_conntracc_ftp обычно автоматом не грузятся, а без них возможно не совсем корректная работа специфических протоколов типа ftp, sip, h323, pptp, irc и т.д.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

DenisOil

03.09.2008

чесна говоря так далеко не залазил, но все работает без модулей.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Mihalych

03.09.2008

DenisOil писал(а)
...но все работает без модулей.

Парни, вы о чем? Если данная функция встроена в ядро, по дефолту например, то данный модуль отсутствует как класс (как майнтейнер сделал). Если собирали руками и указано, опять таки к примеру, CONFIG_NF_CONNTRACK_ENABLED=m, то придеться включать принудительно.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

04.09.2008

Все правильно говоришь, никто не спорит. Но кто сейчас ядра руками собирает? почти никто, кроме Гентушников. А в ядрах из репозитариев в 99 процентов случаев все опции сделаны модулями, поэтому как я и пишу модули действительно есть и например которые относятся к NetFilter грузяЦ0 автоматом скриптом iptables далеко не все и поэтому я всегда сам не ленюсь и ручками прописываю загрузку всех нужных модулей через modprobe в rc.local например или в /etc/init.d/iptables

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Mihalych

04.09.2008

nnstepan писал(а)
Но кто сейчас ядра руками собирает? почти никто, кроме Гентушников.

Как закоренелый слакварщик сам ядра пересобираю. Привычка что ли :)

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Новая тема

Список тем

Последние темы форумов

Форум Тема (Автор) Последний ответ Ответов

Техно-форум Я до сих пор не понимаю, что такое программирование. - antidot 16.05.2025 в 08:16:57 11

Объявления на НН.РУ - Техника

Добавить объявление

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.