IPTABLES - przekierowanie, prosz

Masz problemy z siecią bądź internetem? Zapytaj tu
ODPOWIEDZ
Andrex2k
Posty: 2
Rejestracja: 10 czerwca 2011, 20:34

IPTABLES - przekierowanie, proszę o sprawdzenie konfiguracji

Post autor: Andrex2k »

Witam!

Mam napisany firewall z wykorzystaniem IPTABLES, proszę o pomoc w postaci dodania do niego przekierowania portów do monitoringu.
Monitoring wymaga otwartych portów 7620, 7621, 7622, 7623, 7624 i przekierowania ich na adres IP rejestratora MON_IP="192.168.1.10"
Niestety nie wychodzi mi to, pomimo że robię podobnie jak przekierowanie FTP.

Skrypt nie jest pisany przeze mnie ale się nim posługuję.

Chciałem wpisać coś takiego:

Kod: Zaznacz cały

$IPTABLES -A input_public_filter -p TCP --dport 7620 -j allowed 
$IPTABLES -A forward_public_filter -p TCP --dport 7620 -j allowed 
$IPTABLES -t nat -A PREROUTING -d $INET1_IP -p tcp --dport 7620 -j DNAT --to 10.0.0.174 
$IPTABLES -A FORWARD -p tcp --dport 7620 -d 10.0.0.174 -j ACCEPT
jednak to mi nie działa.

Skrypt poniżej:

Kod: Zaznacz cały

# WAN
INET1_IP="78.238.47.523"
INET1_IFACE="eth1"

TUN_IP="192.8.0.1"
TUN_IFACE="tun0"

# LAN
LAN_IP="192.168.1.4"
FTP_IP="192.168.1.1"
MAIL_IP="192.168.1.6"
WWW_IP="192.168.1.7"

LAN_IP_RANGE="192.0.0.0/24"
LAN_IFACE="eth0"
LO_IFACE="lo"
LO_IP="127.0.0.1"
IPTABLES="iptables"

# MONITORING
MON_IP="192.168.1.10"

/sbin/depmod -a

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state
/sbin/modprobe ipt_iprange
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

echo "1" > /proc/sys/net/ipv4/ip_forward

$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -N bad_tcp_packets
$IPTABLES -N allowed
$IPTABLES -N check_ip_blocked
$IPTABLES -N input_check_ip_private
$IPTABLES -N forward_check_ip_private
$IPTABLES -N input_public_filter
$IPTABLES -N input_private_filter
$IPTABLES -N forward_public_filter
$IPTABLES -N forward_private_filter

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP


# ODBLOKOWANE PUBLICZNE **********************************************************************************

$IPTABLES -A input_public_filter -p TCP --dport 21 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 22 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 25 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 37 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 53 -j allowed
$IPTABLES -A input_public_filter -p UDP --dport 53 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 80 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 81 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 110 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 143 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 443 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 444 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 465 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 587 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 993 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 995 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 1194 -j allowed
$IPTABLES -A input_public_filter -p TCP --dport 5938 -j allowed

$IPTABLES -A forward_public_filter -p TCP --dport 21 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 22 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 25 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 37 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 53 -j allowed
$IPTABLES -A forward_public_filter -p UDP --dport 53 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 80 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 81 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 110 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 143 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 443 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 444 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 465 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 587 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 993 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 995 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 1194 -j allowed
$IPTABLES -A forward_public_filter -p TCP --dport 5938 -j allowed


$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

$IPTABLES -A INPUT -p tcp --dport 1194  -j ACCEPT

$IPTABLES -A INPUT -p ALL -i $TUN_IFACE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET1_IP -j ACCEPT

$IPTABLES -A INPUT -p UDP -i $INET1_IFACE --dport 53 -j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INET1_IFACE --dport 53 -j ACCEPT
$IPTABLES -A FORWARD -p UDP -i $INET1_IFACE --dport 53 -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $INET1_IFACE --dport 53 -j ACCEPT

$IPTABLES -A INPUT -p ALL -d $INET1_IP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INET1_IFACE -j input_check_ip_private
$IPTABLES -A INPUT -p TCP -i $INET1_IFACE -j input_public_filter

$IPTABLES -A INPUT -p icmp --icmp-type echo-request -m limit --limit 10/sec -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -m length --length 200: -j DROP
$IPTABLES -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 50/sec -j ACCEPT
$IPTABLES -A FORWARD -p icmp --icmp-type echo-request -m length --length 200: -j DROP
$IPTABLES -A FORWARD -p icmp --icmp-type echo-reply -m limit --limit 50/sec -j ACCEPT
$IPTABLES -A FORWARD -p icmp --icmp-type echo-reply -m length --length 200: -j DROP
$IPTABLES -t mangle -A FORWARD -i $INET1_IP -j TTL --ttl-set 1

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3
# -j LOG --log-level DEBUG --log-prefix "IPT INPUT packet died: "

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $TUN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $INET1_IFACE -j forward_check_ip_private
$IPTABLES -A FORWARD -i $INET1_IFACE -j check_ip_blocked
$IPTABLES -A FORWARD -i $INET1_IFACE -j forward_public_filter

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3
# -j LOG --log-level DEBUG --log-prefix "IPT FORWARD packet died: "

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $TUN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET1_IP -j ACCEPT

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3
# -j LOG --log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

# PRZEKIEROWANIA **********************************************************************************

# FTP

$IPTABLES -t nat -A PREROUTING -d $INET1_IP -p tcp -m multiport --dports 21 -j DNAT --to $FTP_IP
$IPTABLES -A FORWARD -p tcp -m multiport --dports 21 -d $FTP_IP -j ACCEPT

# MAIL

$IPTABLES -t nat -A PREROUTING -d $INET1_IP -p tcp -m multiport --dports 25,110,143,444,465,587,993,995 -j DNAT --to $MAIL_IP
$IPTABLES -A FORWARD -p tcp -m multiport --dports 25,110,143,444,465,587,993,995 -d $MAIL_IP -j ACCEPT

# WWW

$IPTABLES -t nat -A PREROUTING -d $INET1_IP -p tcp -m multiport --dports 80,443 -j DNAT --to $WWW_IP
$IPTABLES -A FORWARD -p tcp -m multiport --dports 80,443 -d $WWW_IP -j ACCEPT


# MONITORING


# BLOKADA LAN ****************************************************************************

porty_tcp="0:20 23:24 26:36 38:52 54:79 82:442 444:2082 2084:3127 3129:5937 5939:7011 7015:7619 7625:8073 8075:8080 8082:8999 9001:12000 12004:65535"
porty_udp="0:52 54:7011 7015:7619 7625:65535"

for i in {8..184..1}
do
    adres="10.0.0.$i"
    
    for p in $porty_tcp
    do
    $IPTABLES -I FORWARD -p tcp --dport $p -s $adres -j DROP
    $IPTABLES -I INPUT -p tcp --dport $p -s $adres -j DROP
    $IPTABLES -A OUTPUT -p tcp --dport $p -d $adres -j DROP
    done
    
    for p in $porty_udp
    do
    $IPTABLES -I FORWARD -p udp --dport $p -s $adres -j DROP
    $IPTABLES -I INPUT -p udp --dport $p -s $adres -j DROP
    $IPTABLES -A OUTPUT -p udp --dport $p -d $adres -j DROP
    done
done

Po restarcie firewalla mam następujące informację.

iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
iptables: Chain already exists.
\nkonfiguracja zapisana
Proszę o informację gdzie leży błąd i jak przekierować porty.
Na górę
Awatar użytkownika
grzesiek
Junior Member
Posty: 932
Rejestracja: 06 stycznia 2008, 10:41
Lokalizacja: Białystok

Post autor: grzesiek »

Może to poszło na tą kamerkę w WC? Nic tam nie widzisz?
Na górę
Andrex2k
Posty: 2
Rejestracja: 10 czerwca 2011, 20:34

Post autor: Andrex2k »

grzesiek pisze:Może to poszło na tą kamerkę w WC? Nic tam nie widzisz?
A coś na temat?
Na górę
ODPOWIEDZ

Wróć do „Sieci”