rulinux.net - Форум - General - [iptables] полный NAT http://rulinux.net/ rulinux.net - Форум - General - [iptables] полный NAT http://rulinux.net/ http://rulinux.net/rss_icon.png Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53739 https://rulinux.net/message.php?newsid=7466&page=1#53739 Tue, 06 Jul 2010 20:41:29 +0400 ну да, не так просто во всей это штуке разобраться, искал что-то находил, оставлял в комментах, зато в результате работает стабильно - по этому конфигу любой фирме с самыми жесткими правилами безопасности(в рамках айпитаблов) можно в течении минуты настроить выход в сеть - профит!

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53738 https://rulinux.net/message.php?newsid=7466&page=1#53738 Tue, 06 Jul 2010 15:40:15 +0400 >382. # РЕТЕУМБФШ ЧИПДСЭЙЕ UDP РБЛЕФЩ(РПТФ 5060 Й 16500) ОБ ЙОФЕТЖЕКУ eth0 (X.X.X.X) 383. # ЧП ЧОХФТЕООАА УЕФШ ОБ 172.16.0.200 ОБ УППФЧЕФУФЧХАЭЙЕ РПТФЩ
оНДШЛЮК

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53737 https://rulinux.net/message.php?newsid=7466&page=1#53737 Tue, 06 Jul 2010 15:38:19 +0400 а, у тебя уже все заработало, незаметил =)

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53736 https://rulinux.net/message.php?newsid=7466&page=1#53736 Tue, 06 Jul 2010 15:37:42 +0400 вот мой файрвольчик

  1.  #!/bin/sh
  2.  
  3.  INET_IP="xxx.xxx.xxx.xxx"
  4.  INET_IFACE="eth0"
  5.  INET_BROADCAST="xxx.xxx.xxx.255"
  6.  
  7.  # 1.2 Local Area Network configuration.
  8.  #
  9.  # your LAN's IP range and localhost IP. /24 means to only use the first 24
  10.  # bits of the 32 bit IP address. the same as netmask 255.255.255.0
  11.  #
  12.  
  13.  LAN_IP="10.0.0.1"
  14.  LAN_IP_RANGE="10.0.0.0/24"
  15.  LAN_IFACE="eth1"
  16.  
  17.  #
  18.  # 1.4 Localhost Configuration.
  19.  #
  20.  
  21.  LO_IFACE="lo"
  22.  LO_IP="127.0.0.1"
  23.  
  24.  #
  25.  # 1.5 IPTables Configuration.
  26.  #
  27.  
  28.  IPTABLES="/sbin/iptables"
  29.  
  30.  #
  31.  # 1.6 Other Configuration.
  32.  #
  33.  
  34.  ###########################################################################
  35.  #
  36.  # 2. Module loading.
  37.  #
  38.  
  39.  #
  40.  # Needed to initially load modules
  41.  #
  42.  
  43.  /sbin/depmod -a
  44.  
  45.  #
  46.  # 2.1 Required modules
  47.  #
  48.  
  49.  /sbin/modprobe ip_tables
  50.  /sbin/modprobe ip_conntrack
  51.  /sbin/modprobe iptable_filter
  52.  /sbin/modprobe iptable_mangle
  53.  /sbin/modprobe iptable_nat
  54.  /sbin/modprobe ipt_LOG
  55.  /sbin/modprobe ipt_limit
  56.  /sbin/modprobe ipt_state
  57.  /sbin/modprobe ipt_string
  58.  #
  59.  # 2.2 Non-Required modules
  60.  #
  61.  
  62.  /sbin/modprobe ipt_owner
  63.  /sbin/modprobe ipt_REJECT
  64.  /sbin/modprobe ipt_MASQUERADE
  65.  /sbin/modprobe ip_conntrack_ftp
  66.  /sbin/modprobe ip_conntrack_irc
  67.  /sbin/modprobe ip_nat_ftp
  68.  /sbin/modprobe ip_nat_irc
  69.  
  70.  ###########################################################################
  71.  #
  72.  # 3. /proc set up.
  73.  #
  74.  
  75.  #
  76.  # 3.1 Required proc configuration
  77.  #
  78.  
  79.  echo "1" > /proc/sys/net/ipv4/ip_forward
  80.  
  81.  #
  82.  # 3.2 Non-Required proc configuration
  83.  #
  84.  
  85.  echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
  86.  echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
  87.  echo "1" > /proc/sys/net/ipv4/ip_dynaddr
  88.  
  89.  ###########################################################################
  90.  #
  91.  # 4. rules set up.
  92.  #
  93.  
  94.  ######
  95.  # 4.1 Filter table
  96.  #
  97.  # $IPTABLES -t filter -A FORWARD -i $LAN_IP -o $INET_IP -s $LAN_IP -j ACCEPT
  98.  #
  99.  # 4.1.1 Set policies
  100.  #
  101.  
  102.  $IPTABLES -P INPUT DROP
  103.  $IPTABLES -P OUTPUT DROP
  104.  $IPTABLES -P FORWARD ACCEPT
  105.  
  106.  #
  107.  # 4.1.2 Create userspecified chains
  108.  #
  109.  
  110.  #
  111.  # Create chain for bad tcp packets
  112.  #
  113.  
  114.  $IPTABLES -N bad_tcp_packets
  115.  
  116.  #
  117.  # Create separate chains for ICMP, TCP and UDP to traverse
  118.  #
  119.  
  120.  $IPTABLES -N allowed
  121.  $IPTABLES -N tcp_packets
  122.  $IPTABLES -N udp_packets
  123.  $IPTABLES -N icmp_packets
  124.  
  125.  #
  126.  # 4.1.3 Create content in userspecified chains
  127.  #
  128.  
  129.  #
  130.  # bad_tcp_packets chain
  131.  #
  132.  
  133.  $IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
  134.  $IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
  135.  $IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP
  136.  
  137.  #
  138.  # allowed chain
  139.  #
  140.  
  141.  $IPTABLES -A allowed -p TCP --syn -j ACCEPT
  142.  $IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
  143.  $IPTABLES -A allowed -p TCP -j DROP
  144.  
  145.  #
  146.  # TCP rules
  147.  #
  148.  
  149.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 20 -j allowed
  150.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
  151.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
  152.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
  153.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 8080 -j allowed
  154.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 8081 -j allowed
  155.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed
  156.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 4661 -j allowed
  157.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 4662 -j allowed
  158.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 4711 -j allowed
  159.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 4712 -j allowed
  160.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 6588 -j allowed
  161.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 3128 -j allowed
  162.  $IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 3389 -j allowed
  163.  #
  164.  # UDP ports
  165.  #
  166.  
  167.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
  168.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 123 -j ACCEPT
  169.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
  170.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4000 -j ACCEPT
  171.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4665 -j ACCEPT
  172.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4672 -j ACCEPT
  173.  $IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 3389 -j ACCEPT
  174.  #
  175.  # In Microsoft Networks you will be swamped by broadcasts. These lines
  176.  # will prevent them from showing up in the logs.
  177.  #
  178.  
  179.  $IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d $INET_BROADCAST --destination-port 135:139 -j DROP
  180.  
  181.  #
  182.  # If we get DHCP requests from the Outside of our network, our logs will
  183.  # be swamped as well. This rule will block them from getting logged.
  184.  #
  185.  
  186.  #$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \
  187.  #--destination-port 67:68 -j DROP
  188.  
  189.  #
  190.  # ICMP rules
  191.  #
  192.  
  193.  $IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
  194.  $IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
  195.  
  196.  #
  197.  # 4.1.4 INPUT chain
  198.  #
  199.  
  200.  #
  201.  # Bad TCP packets we don't want.
  202.  #
  203.  
  204.  $IPTABLES -A INPUT -p tcp -j bad_tcp_packets
  205.  
  206.  #
  207.  # Rules for special networks not part of the Internet
  208.  #
  209.  
  210.  $IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
  211.  $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
  212.  $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
  213.  $IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT
  214.  
  215.  #
  216.  # Special rule for DHCP requests from LAN, which are not caught properly
  217.  # otherwise.
  218.  #
  219.  
  220.  $IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT
  221.  
  222.  #
  223.  # Rules for incoming packets from the internet.
  224.  #
  225.  
  226.  $IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED -j ACCEPT
  227.  $IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
  228.  $IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets
  229.  $IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets
  230.  
  231.  #
  232.  # If you have a Microsoft Network on the outside of your firewall, you may
  233.  # also get flooded by Multicasts. We drop them so we do not get flooded by
  234.  # logs
  235.  #
  236.  
  237.  $IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP
  238.  
  239.  #
  240.  # Log weird packets that don't match the above.
  241.  #
  242.  
  243.  $IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level DEBUG --log-prefix "IPT INPUT packet died: "
  244.  
  245.  #
  246.  # 4.1.5 FORWARD chain
  247.  #
  248.  
  249.  #
  250.  # Bad TCP packets we don't want
  251.  #
  252.  
  253.  $IPTABLES -A FORWARD -p tcp -j bad_tcp_packets
  254.  
  255.  #
  256.  # Accept the packets we actually want to forward
  257.  #
  258.  
  259.  $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
  260.  $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
  261.  
  262.  #
  263.  # Log weird packets that don't match the above.
  264.  #
  265.  
  266.  $IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level DEBUG --log-prefix "IPT FORWARD packet died: "
  267.  
  268.  #
  269.  # 4.1.6 OUTPUT chain
  270.  #
  271.  
  272.  #
  273.  # Bad TCP packets we don't want.
  274.  #
  275.  
  276.  $IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets
  277.  
  278.  #
  279.  # Special OUTPUT rules to decide which IP's to allow.
  280.  #
  281.  
  282.  $IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
  283.  $IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
  284.  $IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT
  285.  
  286.  #
  287.  # Log weird packets that don't match the above.
  288.  #
  289.  
  290.  $IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level DEBUG --log-prefix "IPT OUTPUT packet died: "
  291.  
  292.  ######
  293.  # 4.2 nat table
  294.  #
  295.  
  296.  #
  297.  # 4.2.1 Set policies
  298.  #
  299.  
  300.  #
  301.  # 4.2.2 Create user specified chains
  302.  #
  303.  
  304.  #
  305.  # 4.2.3 Create content in user specified chains
  306.  #
  307.  
  308.  #
  309.  # 4.2.4 PREROUTING chain
  310.  #
  311.  
  312.  #
  313.  # 4.2.5 POSTROUTING chain
  314.  #
  315.  
  316.  #
  317.  # Enable simple IP Forwarding and Network Address Translation
  318.  #
  319.  
  320.  $IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP
  321.  
  322.  #
  323.  # 4.2.6 OUTPUT chain
  324.  #
  325.  
  326.  ######
  327.  # 4.3 mangle table
  328.  #
  329.  
  330.  #
  331.  # 4.3.1 Set policies
  332.  #
  333.  
  334.  #
  335.  # 4.3.2 Create user specified chains
  336.  #
  337.  
  338.  #
  339.  # 4.3.3 Create content in user specified chains
  340.  #
  341.  
  342.  #
  343.  # 4.3.4 PREROUTING chain
  344.  #
  345.  $IPTABLES -t nat -A PREROUTING --dst $INET_IP -p tcp --dport 4662 -j DNAT --to-destination 10.0.0.6
  346.  $IPTABLES -t nat -A PREROUTING --dst $INET_IP -p udp --dport 4672 -j DNAT --to-destination 10.0.0.6
  347.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4661 -j DNAT --to-destination 10.0.0.6
  348.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4662 -j DNAT --to-destination 10.0.0.6
  349.  $IPTABLES -t nat -A PREROUTING -p udp -d $INET_IP --dport 4672 -j DNAT --to-destination 10.0.0.6
  350.  $IPTABLES -t nat -A PREROUTING -p udp -d $INET_IP --dport 4665 -j DNAT --to-destination 10.0.0.6
  351.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4711 -j DNAT --to-destination 10.0.0.6
  352.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4712 -j DNAT --to-destination 10.0.0.6
  353.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 3389 -j DNAT --to-destination 10.0.0.6
  354.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 12087 -j DNAT --to-destination 10.0.0.6
  355.  # 51909
  356.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 51909 -j DNAT --to-destination 10.0.0.6
  357.  #
  358.  # 4.3.5 INPUT chain
  359.  #
  360.  
  361.  #
  362.  # 4.3.6 FORWARD chain
  363.  #
  364.  
  365.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4661 -j ACCEPT
  366.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4662 -j ACCEPT
  367.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 4672 -j ACCEPT
  368.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 4665 -j ACCEPT
  369.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4711 -j ACCEPT
  370.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4712 -j ACCEPT
  371.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 3389 -j ACCEPT
  372.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 3389 -j ACCEPT
  373.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 51909 -j ACCEPT
  374.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 12087 -j ACCEPT
  375.  #
  376.  # 4.3.7 OUTPUT chain
  377.  #
  378.  
  379.  #
  380.  # 4.3.8 POSTROUTING chain
  381.  #
  382.  # РЕТЕУМБФШ ЧИПДСЭЙЕ UDP РБЛЕФЩ(РПТФ 5060 Й 16500) ОБ ЙОФЕТЖЕКУ eth0 (X.X.X.X)
  383.  # ЧП ЧОХФТЕООАА УЕФШ ОБ 172.16.0.200 ОБ УППФЧЕФУФЧХАЭЙЕ РПТФЩ
  384.  # iptables -t nat -A PREROUTING -p udp -d x.x.x.x --dport 5060 -j DNAT --to-destination 172.16.0.200
  385.  # iptables -t nat -A PREROUTING -p udp -d x.x.x.x --dport 16500 -j DNAT --to-destination 172.16.0.200
  386.  #
  387.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4661 -j DNAT --to-destination 10.0.0.6
  388.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 4662 -j DNAT --to-destination 10.0.0.6
  389.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 3389 -j DNAT --to-destination 10.0.0.6
  390.  $IPTABLES -t nat -A PREROUTING -p udp -d $INET_IP --dport 4672 -j DNAT --to-destination 10.0.0.6
  391.  $IPTABLES -t nat -A PREROUTING -p udp -d $INET_IP --dport 3389 -j DNAT --to-destination 10.0.0.6
  392.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4661 -j ACCEPT
  393.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 4662 -j ACCEPT
  394.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 4672 -j ACCEPT
  395.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p udp --dport 3389 -j ACCEPT
  396.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 3389 -j ACCEPT
  397.  
  398.  
  399.  $IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 12087 -j DNAT --to-destination 10.0.0.6
  400.  $IPTABLES -A FORWARD -i eth0 -d 10.0.0.6 -p tcp --dport 12087 -j ACCEPT
  401.  
  402.  

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53735 https://rulinux.net/message.php?newsid=7466&page=1#53735 Fri, 02 Jul 2010 13:44:29 +0400 переношу в дженерал.

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53734 https://rulinux.net/message.php?newsid=7466&page=1#53734 Fri, 02 Jul 2010 09:49:20 +0400 >>/sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
>>/sbin/iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
>>/sbin/iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
Вот так заработало. Спасибо. Забыл про форварды значит :)

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53733 https://rulinux.net/message.php?newsid=7466&page=1#53733 Fri, 02 Jul 2010 09:38:29 +0400 Попробуй сделать

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53732 https://rulinux.net/message.php?newsid=7466&page=1#53732 Fri, 02 Jul 2010 09:37:24 +0400 бывает не сразу срабатывает по непонятным причинам. Проверь таблицу маршрутов.

]]> Re: [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53731 https://rulinux.net/message.php?newsid=7466&page=1#53731 Fri, 02 Jul 2010 09:37:22 +0400 /sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

/sbin/iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT

/sbin/iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

]]> [iptables] полный NAT https://rulinux.net/message.php?newsid=7466&page=1#53730 https://rulinux.net/message.php?newsid=7466&page=1#53730 Fri, 02 Jul 2010 09:31:00 +0400 eth0 - внешка (xxx.xxx.xxx.xxx)

eth1 - локалка (192.168.3.180/24)

# cat /proc/sys/net/ipv4/ip_forward

1

Надо сделать сабж. Давно делал и много. Может чего забыл?

# iptables -t nat -A POSTROUTING -s 192.168.3.0/255.255.255.0 -o eth0 -j MASQUERADE

Все, кажись, должно работать.

В локалке машинке даю шлюзом 192.168.3.180. Инета нет. пинги во внешку не проходят тоже

]]>