Изпечатай

[sp1der80]

Здравейте!
Имам сървър на Слакуер 13, които ползвам за рутер към вътрешна мрежа с нереални ИП. Имам и още няколко уиндоус сървара на които са независими и съответно на други ип адреси. Казуса е следния, иска да направя така че свързвайки се към линукс сървара на някакъв порт примерно 2000, тази кънекция да бъде пренасочена към ип-то някои от уиндоус сърварите на порт 3389 (рдп).
Пример:
Кънектвам се към линукс сървара на порт 2000, и там ми се отваря рдп-то на уинндоус сървър 1.

Благодаря предварително!

[ntrance]

Добре дошъл , следващия път потърси малко преди да питаш

iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 2000 -j DNAT --to 192.168.1.50:3389
iptables -A INPUT -p tcp -m state --state NEW --dport 2000 -i eth1 -j ACCEPT

[plamen_f]

Само забележка - нереални IP-та няма. Има публични частни.

[sp1der80]

за съжаление пак не се получава
ето с какво правило пробвам:
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 2000 -j DNAT --to 213.91.193.60:3389
iptables -A INPUT -p tcp -m state --state NEW --dport 2000 -i eth0 -j ACCEPT


излиза в тайм-аут когато го пробвам от ПУБЛИЧНИ ИП АДРЕСИ, а от ЧАСТНИТЕ работи!

[VladSun]

Ако имаш публични адреси зад рутера, пробвай директно да ги маршрутизираш ...

http://www.linux-bg.org/forum/index.php?topic=16758.0

[sp1der80]

Ако имаш публични адреси зад рутера, пробвай директно да ги маршрутизираш ...

http://www.linux-bg.org/forum/index.php?topic=16758.0

въпроса е че ип-тата към които искам да редиректвам портове, примерно (213.91.193.60) не е зад рутера, а е пред него... т.е. е в публичното пространство.

[VladSun]

Тогава твоите Windows машини как ще разберат от къде идват пакетите - от твоя рутер или от Интернет? Те ще се опитат да отговарят през техния gateway - т.е. няма да се "върнат" към твоят рутер, който прави port forwarding-a. Не виждам как ще правиш маршрутизацията в този случай ...

[VladSun]

Добре дошъл , следващия път потърси малко преди да питаш

iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 2000 -j DNAT --to 192.168.1.50:3389
iptables -A INPUT -p tcp -m state --state NEW --dport 2000 -i eth1 -j ACCEPT

Тези две правила за рутера ли са???

[ntrance]

Добре дошъл , следващия път потърси малко преди да питаш

iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 2000 -j DNAT --to 192.168.1.50:3389
iptables -A INPUT -p tcp -m state --state NEW --dport 2000 -i eth1 -j ACCEPT

Тези две правила за рутера ли са???

Правилата са прости и ясни.

[VladSun]

Да, те са прости и ясни, но второто е *абсолютно* ненужно ...
По-скоро би трябвало да е:

Код

GeSHi (Bash):
iptables -A FORWARD -p tcp --dport 3389 -d 192.168.1.50 -j ACCEPT
iptables -A FORWARD -p tcp --sport 3389 -s 192.168.1.50 -j ACCEPT

или нещо от сорта (т.е. зависи от естеството на протокола, който трябва да се пренасочи)

Във веригата INPUT за рутер, НИКОГА не достигат пакети, които са DNAT-нати.

По-просто и ясно не мога да се изразя

[VladSun]

Също така, първото правило е недостатъчно дефинирано - трябва да е:

Код

GeSHi (Bash):
iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 2000 -d ROUTER_IP_HERE  -j DNAT --to 192.168.1.50:3389

иначе всички пакети, които по стечение на обстоятелствата са към порт 2000 ще се пренасочат, дори и да не трябва ...

[ntrance]

Да, те са прости и ясни, но второто е *абсолютно* ненужно ...
По-скоро би трябвало да е:

Код

GeSHi (Bash):
iptables -A FORWARD -p tcp --dport 3389 -d 192.168.1.50 -j ACCEPT
iptables -A FORWARD -p tcp --sport 3389 -s 192.168.1.50 -j ACCEPT

или нещо от сорта (т.е. зависи от естеството на протокола, който трябва да се пренасочи)

Във веригата INPUT за рутер, НИКОГА не достигат пакети, които са DNAT-нати.

По-просто и ясно не мога да се изразя

Не се излагай не искам  от всички лан карти да ми пренасочват  адресите искам от само една .....

[VladSun]

Да, те са прости и ясни, но второто е *абсолютно* ненужно ...
По-скоро би трябвало да е:

Код

GeSHi (Bash):
iptables -A FORWARD -p tcp --dport 3389 -d 192.168.1.50 -j ACCEPT
iptables -A FORWARD -p tcp --sport 3389 -s 192.168.1.50 -j ACCEPT

или нещо от сорта (т.е. зависи от естеството на протокола, който трябва да се пренасочи)

Във веригата INPUT за рутер, НИКОГА не достигат пакети, които са DNAT-нати.

По-просто и ясно не мога да се изразя

Не се излагай не искам  от всички лан карти да ми пренасочват  адресите искам от само една .....

Не се излагам - прочети си как вървят пакетите в iptables
А последното ми мнение прочете ли?

[ntrance]

Да, те са прости и ясни, но второто е *абсолютно* ненужно ...
По-скоро би трябвало да е:

Код

GeSHi (Bash):
iptables -A FORWARD -p tcp --dport 3389 -d 192.168.1.50 -j ACCEPT
iptables -A FORWARD -p tcp --sport 3389 -s 192.168.1.50 -j ACCEPT

или нещо от сорта (т.е. зависи от естеството на протокола, който трябва да се пренасочи)

Във веригата INPUT за рутер, НИКОГА не достигат пакети, които са DNAT-нати.

По-просто и ясно не мога да се изразя

Не се излагай не искам  от всички лан карти да ми пренасочват  адресите искам от само една .....

Не се излагам - прочети си как вървят пакетите в iptables
А последното ми мнение прочете ли?

Знам как вървят пакетите , въпроса е зададен по такъв начин по който е отговорено правилно. Иска порта да се пренасочи към вътрешно ип с една дума локално ип.  Това е един от начините

[VladSun]

Да, те са прости и ясни, но второто е *абсолютно* ненужно ...
По-скоро би трябвало да е:

Код

GeSHi (Bash):
iptables -A FORWARD -p tcp --dport 3389 -d 192.168.1.50 -j ACCEPT
iptables -A FORWARD -p tcp --sport 3389 -s 192.168.1.50 -j ACCEPT

или нещо от сорта (т.е. зависи от естеството на протокола, който трябва да се пренасочи)

Във веригата INPUT за рутер, НИКОГА не достигат пакети, които са DNAT-нати.

По-просто и ясно не мога да се изразя

Не се излагай не искам  от всички лан карти да ми пренасочват  адресите искам от само една .....

Не се излагам - прочети си как вървят пакетите в iptables
А последното ми мнение прочете ли?

Знам как вървят пакетите , въпроса е зададен по такъв начин по който е отговорено правилно. Иска порта да се пренасочи към вътрешно ип с една дума локално ип.  Това е един от начините

Аз само те поправям, че INPUT веригата *НЕ* участва по никакъв начин в port-forwarding-a ... ОК?