URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 85353
[ Назад ]
Исходное сообщение
"nat и портфорвардинг 'из нутри'."
Отправлено piroman17 , 20-Май-09 21:22 
суть вопроса такова: есть шлюз(linux) и локальная сеть за NATом. Так же за НАТом есть сервер с понятым апачем (192.168.1.18). досуп во вне на 80ый порт ТОЛЬКО через прокси(настроенно но шлюзе). интересует такая схема:
те кто долбятся на 80ый порт во вне (с не настроенной проксёй) должны переадресовываться на внутренний сервак на 80ый порт. пробовал следующую конструкцию:
iptables -I FORWARD -p tcp --dport 80 -s 192.168.0.0/16 -d ! 192.168.0.0/16 -j REJECT
iptables -t nat -I PREROUTING -p tcp --dport 80 -s 192.168.0.0/16 -j DNAT --to-destination 192.168.1.18:80

почему то не перебрасывает порт... адреса внутренней сети 192.168.0.0/16, адрес web-сервера: 192.168.1.18, адреса шлюза в разных подсетях: 192.168.1.1, 192.168.2.1, 192.168.3.1

помогите плиз настроить переброс порта.

Содержание
Сообщения в этом обсуждении
"nat и портфорвардинг 'из нутри'."
Отправлено reader , 20-Май-09 21:44 
>[оверквотинг удален]
>
>iptables -I FORWARD -p tcp --dport 80 -s 192.168.0.0/16 -d ! 192.168.0.0/16
>-j REJECT
>iptables -t nat -I PREROUTING -p tcp --dport 80 -s 192.168.0.0/16 -j
>DNAT --to-destination 192.168.1.18:80
>
>почему то не перебрасывает порт... адреса внутренней сети 192.168.0.0/16, адрес web-сервера: 192.168.1.18,
>адреса шлюза в разных подсетях: 192.168.1.1, 192.168.2.1, 192.168.3.1
>
>помогите плиз настроить переброс порта.

tcpdump на 192.168.1.18 посмотреть бы, возможно 192.168.1.18 отвечает клиенту на прямую, а клиенту это не понравится

"nat и портфорвардинг 'из нутри'."
Отправлено piroman17 , 20-Май-09 22:07 
>
>tcpdump на 192.168.1.18 посмотреть бы, возможно 192.168.1.18 отвечает клиенту на прямую, а
>клиенту это не понравится

22:07:20.150359 arp who-has 192.168.1.130 tell 192.168.1.1
22:07:20.152574 IP 192.168.1.130.1045 > 192.168.1.18.80: S 3817250885:3817250885(0) win 64240 <mss 1460,nop,nop,sackOK>
22:07:20.152603 IP 192.168.1.18.80 > 192.168.1.130.1045: S 3743257032:3743257032(0) ack 3817250886 win 5840 <mss 1460,nop,nop,sackOK>
22:07:20.152839 arp who-has 192.168.1.18 tell 192.168.1.130
22:07:20.152849 arp reply 192.168.1.18 is-at 00:80:48:5b:43:e9
22:07:20.152943 IP 192.168.1.130.1045 > 192.168.1.18.80: R 3817250886:3817250886(0) win 0
22:07:23.087258 IP 192.168.1.130.1045 > 192.168.1.18.80: S 3817250885:3817250885(0) win 64240 <mss 1460,nop,nop,sackOK>
22:07:23.087286 IP 192.168.1.18.80 > 192.168.1.130.1045: S 3789111436:3789111436(0) ack 3817250886 win 5840 <mss 1460,nop,nop,sackOK>
22:07:23.087471 IP 192.168.1.130.1045 > 192.168.1.18.80: R 3817250886:3817250886(0) win 0

ну да, как и было сказано, клиенту не нравиться ответ не с того хоста.... как можно починить?

"nat и портфорвардинг 'из нутри'."
Отправлено reader , 20-Май-09 22:15 
>[оверквотинг удален]
>22:07:20.152603 IP 192.168.1.18.80 > 192.168.1.130.1045: S 3743257032:3743257032(0) ack 3817250886 win 5840 <mss 1460,nop,nop,sackOK>
>22:07:20.152839 arp who-has 192.168.1.18 tell 192.168.1.130
>22:07:20.152849 arp reply 192.168.1.18 is-at 00:80:48:5b:43:e9
>22:07:20.152943 IP 192.168.1.130.1045 > 192.168.1.18.80: R 3817250886:3817250886(0) win 0
>22:07:23.087258 IP 192.168.1.130.1045 > 192.168.1.18.80: S 3817250885:3817250885(0) win 64240 <mss 1460,nop,nop,sackOK>
>22:07:23.087286 IP 192.168.1.18.80 > 192.168.1.130.1045: S 3789111436:3789111436(0) ack 3817250886 win 5840 <mss 1460,nop,nop,sackOK>
>22:07:23.087471 IP 192.168.1.130.1045 > 192.168.1.18.80: R 3817250886:3817250886(0) win 0
>
>ну да, как и было сказано, клиенту не нравиться ответ не с
>того хоста.... как можно починить?

либо на шлюзе еще и SNAT для этих пакетов делать, но лучше 192.168.1.18 вывести в другую подсеть из которой он ни каким клиентам ответить на прямую не сможет

"nat и портфорвардинг 'из нутри'."
Отправлено piroman17 , 20-Май-09 22:19 
>либо на шлюзе еще и SNAT для этих пакетов делать, но лучше
>192.168.1.18 вывести в другую подсеть из которой он ни каким клиентам
>ответить на прямую не сможет

спасибо! пошел накручивать vlan....