Как переносить данные с помощью iptables?

Я хочу, чтобы соединения, входящие в ppp0 на порт 8001, были перенаправлены на 192.168.1.200 на eth0 на порт 8080.

У меня есть эти два правила

-A PREROUTING  -p tcp -m tcp --dport 8001 -j DNAT --to-destination 192.168.1.200:8080

-A FORWARD -m state -p tcp -d 192.168.1.200 --dport 8080 --state NEW,ESTABLISHED,RELATED -j ACCEPT

и он не работает. Что мне не хватает?

107 голосов | спросил Stu 6 SatEurope/Moscow2008-12-06T00:06:59+03:00Europe/Moscow12bEurope/MoscowSat, 06 Dec 2008 00:06:59 +0300 2008, 00:06:59

7 ответов


88

Прежде всего - вы должны проверить, разрешено ли пересылка:

cat /proc/sys/net/ipv4/conf/ppp0/forwarding 
cat /proc/sys/net/ipv4/conf/eth0/forwarding 

Если оба возвращают 1, все в порядке. Если не сделать следующее:

echo '1' | sudo tee /proc/sys/net/ipv4/conf/ppp0/forwarding
echo '1' | sudo tee /proc/sys/net/ipv4/conf/eth0/forwarding

Вторая вещь - DNAT может применяться только в таблице nat. Итак, ваше правило должно быть расширено, добавив также спецификацию таблицы (-t nat):

iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 8001 -j DNAT --to-destination 192.168.1.200:8080
iptables -A FORWARD -p tcp -d 192.168.1.200 --dport 8080 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Оба правила применяются только к TCP-трафику (если вы хотите также изменить UDP, вам необходимо предоставить аналогичные правила, но с параметром -p udp).

Последняя, ​​но не менее важная конфигурация маршрутизации. Тип:

ip route

и проверьте, есть ли 192.168.1.0/24 среди возвращенных записей маршрутизации.

ответил oo_olo_oo 24 MarpmTue, 24 Mar 2009 14:24:13 +03002009-03-24T14:24:13+03:0002 2009, 14:24:13
14

Я думаю, что вы хотите:

iptables -A FORWARD -m state -p tcp -d 192.168.1.200 --dport 8080 --state 
    NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 8001 -j DNAT --to-destination
    192.168.1.200:8080
ответил Robert Gamble 6 SatEurope/Moscow2008-12-06T00:43:59+03:00Europe/Moscow12bEurope/MoscowSat, 06 Dec 2008 00:43:59 +0300 2008, 00:43:59
12

Вы забываете адрес источника postrouting SNAT 'ing:

sysctl net.ipv4.ip_forward=1
yours_wan_ip=101.23.3.1
-A PREROUTING  -p tcp -m tcp -d $yours_wan_ip --dport 8001 -j DNAT --to-destination 192.168.1.200:8080

-A FORWARD -m state -p tcp -d 192.168.1.200 --dport 8080 --state NEW,ESTABLISHED,RELATED -j ACCEPT

-A POSTROUTING -t nat -p tcp -m tcp -s 192.168.1.200 --sport 8080 -j SNAT --to-source $yours_wan_ip

И не забудьте установить ваш брандмауэр linux в качестве шлюза по умолчанию на компьютере с адресом 192.168.1.200.

ответил Zealotous 9 J0000006Europe/Moscow 2011, 15:09:23
5

Я создал следующий скрипт bash для этого на моем маршрутизаторе linux. Он автоматически передает WAN IP и подтверждает выбор, прежде чем продолжить.

#!/bin/bash

# decide which action to use
action="add"
if [[ "-r" == "$1" ]]; then
  action="remove"
  shift
fi

# break out components
dest_addr_lan="$1"
dest_port_wan="$2"
dest_port_lan="$3"

# figure out our WAN ip
wan_addr=`curl -4 -s icanhazip.com`

# auto fill our dest lan port if we need to
if [ -z $dest_port_lan ]; then
  dest_port_lan="$dest_port_wan"
fi

# print info for review
echo "Destination LAN Address: $dest_addr_lan"
echo "Destination Port WAN: $dest_port_wan"
echo "Destination Port LAN: $dest_port_lan"
echo "WAN Address: $wan_addr"

# confirm with user
read -p "Does everything look correct? " -n 1 -r
echo    # (optional) move to a new line
if [[ $REPLY =~ ^[Yy]$ ]]; then
  if [[ "remove" == "$action" ]]; then
    iptables -t nat -D PREROUTING  -p tcp -m tcp -d $wan_addr --dport     $dest_port_wan -j DNAT --to-destination $dest_addr_lan:$dest_port_lan
    iptables -D FORWARD -m state -p tcp -d $dest_addr_lan --dport     $dest_port_lan --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -t nat -D POSTROUTING -p tcp -m tcp -s $dest_addr_lan --sport     $dest_port_lan -j SNAT --to-source $wan_addr
    echo "Forwarding rule removed"
  else
    iptables -t nat -A PREROUTING  -p tcp -m tcp -d $wan_addr --dport     $dest_port_wan -j DNAT --to-destination $dest_addr_lan:$dest_port_lan
    iptables -A FORWARD -m state -p tcp -d $dest_addr_lan --dport     $dest_port_lan --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -t nat -A POSTROUTING -p tcp -m tcp -s $dest_addr_lan --sport $dest_port_lan -j SNAT --to-source $wan_addr
    echo "Forwarding rule added"
  fi
else
  echo "Info not confirmed, exiting..."
fi

Использование сценария просто просто скопировать и вставить его в файл, а затем.

# chmod +x port_forward.sh
# ./port_forward.sh 192.168.1.100 3000
... confirm details ... press y
# Forwarding rule added

Чтобы удалить то же правило

# ./port_forward.sh -r 192.168.1.100 3000
... confirm details ... press y
# Forwarding rule removed

Я думал, что это может сэкономить время на соответствующем маршрутизаторе.

ответил Nullivex 15 TueEurope/Moscow2015-12-15T01:02:36+03:00Europe/Moscow12bEurope/MoscowTue, 15 Dec 2015 01:02:36 +0300 2015, 01:02:36
1

Try

echo "1" > /proc/sys/net/ipv4/conf/ppp0/forwarding
echo "1" > /proc/sys/net/ipv4/conf/eth0/forwarding

Эти файлы сообщают ядру, что разрешено пересылать пакеты между интерфейсами.

ответил Adam Liss 10 WedEurope/Moscow2008-12-10T05:58:04+03:00Europe/Moscow12bEurope/MoscowWed, 10 Dec 2008 05:58:04 +0300 2008, 05:58:04
0

У меня была задача заставить MACHINE_A думать, что служба работает физически на MACHINE_B, но прозрачно перенаправляет все запросы на MACHINE_C.

Хитрость заключалась в использовании MASQUERADE.

sysctl net.ipv4.ip_forward=1

iptables -t nat -A PREROUTING -p tcp -d MACHINE_B --dport 443 -j DNAT --to-destination MACHINE_C

iptables -t nat -A POSTROUTING -s MACHINE_A -o INTERFACE_NAME -j MASQUERADE

Обратите внимание, что вы можете настроить команды:

  1. Чтобы разрешить пересылку пакетов только на конкретном интерфейсе. Например:

    sysctl net.ipv4.conf.eth0.forwarding=1
    
  2. Чтобы не только MACHINE_A, но и все остальные использовать переадресацию порта, удалите:

    -s MACHINE_A
    
ответил Denis Scherbakov 17 MarpmFri, 17 Mar 2017 12:02:46 +03002017-03-17T12:02:46+03:0012 2017, 12:02:46
0

Эта команда не работает для меня:

-A POSTROUTING -t nat -p tcp -m tcp -s 192.168.1.200 --sport 8080 -j SNAT --to-source $yours_wan_ip

У меня есть 2 интерфейса LAN и FORWARD, когда я напишу:

iptables -t nat -A POSTROUTING -o $LAN_IF -p tcp -m tcp --dport $FW_PORT -j SNAT --to-source $LAN_IP
  • LAN_IF - интерфейс LAN (например, eth1, br0 ...)
  • FW_PORD - переадресованный порт (на удаленном хосте)
  • LAN_IP - IP-адрес в интерфейсе LAN (на маршрутизаторе)

Кроме того, необходимо, конечно, и PREROUTING и FORWARD:)

ответил Andrew 24 Maypm17 2017, 15:04:35

Похожие вопросы

Популярные теги

security × 330linux × 316macos × 2827 × 268performance × 244command-line × 241sql-server × 235joomla-3.x × 222java × 189c++ × 186windows × 180cisco × 168bash × 158c# × 142gmail × 139arduino-uno × 139javascript × 134ssh × 133seo × 132mysql × 132