Polskie Forum Użytkowników Debiana

Witam.
Mam pytanie i zarazem potrzebuje coś takiego zrobić, jest ruter z Debianem, jest serwer i usługa, która używa portów tcp i udp, chcę zrobić przekierowanie portów z interfejsu WAN na Linuksie na ip wewnętrzne (do serwera usługą) z tym że domyślnie dla wszystkich z zewnątrz zablokowany jest dostęp dla tych dwóch portów i potem dostęp tylko i wyłącznie dla jednego adresu ip znajdującego się w internecie.

Robię coś takiego (zablokowanie portu dla wszystkich): Potem dostęp z tych portów dla konkretnego ip: i przekierowanie już portu: I w logach mam, że ktoś chce się dostać do tej usługi (log usługi na serwerze wewnętrznym z ip z internetu jakieś).

Co źle robię? Czy wpis z ,,FORWARD'' też musi być? Może ktoś zaproponuje inną regułę?

Maskaradę masz? Przetestuj to tcpdump i pokaż, jak to jest, że dochodzi ale nie odpowiada.

Maska jak najbardziej jest, ruch wychodzący z komputera prywatnego jest, przekierowanie portu np 80 na routerku do maszyny prywatnej działa bez problemu, chodzi mi o zablokowanie jakiegos portu dla wszystkich ktory jest przekierowany do maszyny prywatnej, potem odblokowanie tego tylko dla konkretnego ip

montie pisze:potem odblokowanie tego tylko dla konkretnego ip

tego za bardzo nie rozumiem

Potem chcę odblokować to przekierowanie portu (które wcześniej jest zablokowane dla wszystkich z internetu) tylko dla tego konkretnego adresu ip w internecie.

Może być tak zamiast tego i analogicznie z UDP

No tak właśnie myślałem że to można z ! zrobić, nasuwa mi się pytanie a gdybym chciał dać dwóm ip w internecie dostęp do tych portów? Czy to co wcześniej napisałem jest złe?

Nie wiem dlaczego blokujesz wybrane, powinieneś wszystko blokować a przepuszczać tylko wybrane - czyli na odwrót. Wtedy jakby przyszło robić to dla kilku adresów to tworzyłbyś oddzielne regułki ale takie, które akceptują. Poza tym dobrze byłoby ograniczyć się tylko do pakietów z flagą SYN - czyli stan '--state state NEW', bo zapewne ruch nawiązany - stan ESTABLISHED i tak przepuszczasz.
Oczywiście nie wie jak wygląda Twoja zapora wiec co du dużo gadać