Olá... obrigado por ter respondido
desta forma
$IPTABLES -t nat -I PREROUTING -p tcp -i $IF_LINK --dport 3389 -j DNAT --to
192.168.0.252:3389
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -d 192.168.0.252/32 -p tcp --dport 3389 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 25 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -j DROP
não esta Dropando a rede $NT_LAN
passo até tirar o comando $IPTABLES -A FORWARD -d 192.168.0.252/32 -p
tcp --dport 3389 -j ACCEPT
q mesmo assim funcionando, pois isso q adotei o -I já tinha testado com -A
isso que não estou entendendo
Alguama dica?
----- Original Message -----
From: "Alejandro Flores" <alejandrorflores(a)gmail.com>
To: "Lista de discussão voltada para os usuários brasileiros do Fedora"
<br-users(a)lists.fedoraproject.org>
Sent: Tuesday, March 30, 2010 2:14 PM
Subject: Re: [Fedora-users-br] Firewall
Olá,
Primeiro, da uma ajustada no teu script de firewall. Com a opção -I
você vai jogando as regras pra cima, porque não faz logo na ordem
correta? Outra coisa, utilize a inspeção de estados das conexões para
evitar escrever muitas regras. Exemplo:
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 25 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -j DROP
Dessa forma, as regras são aplicadas na ordem em que você está vendo e
não cria confusão quando utiliza o -I, pois o -I coloca a regra em
primeiro lugar, empurrando as demais para baixo.
Continuando, no outro email eu criei a regra do forward liberando
apenas se o destino for o 192.168.0.252 na porta 3389, como vou
mostrar abaixo:
Então, o seu firewall ficaria:
$IPTABLES -t nat -I PREROUTING -p tcp -i $IF_LINK --dport 3389 -j DNAT
--to 192.168.0.252:3389
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -d 192.168.0.252/32 -p tcp --dport 3389 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -p tcp --dport 25 -j ACCEPT
$IPTABLES -A FORWARD -s $NT_LAN -j DROP
E veja que na regra de forward para funcionar o dnat, utilizo o '-d'
para especificar que é o destino 192.168.0.252 e -p tcp --dport 3389
para dizer que é o protocolo tcp com porta de destino 3389.
Quando chegar um pacote com origem XXX.YYY.ZZZ.AAA na sua interface
$IF_LINK com destino a porta 3389, tcp, o pacote vai ser reescrito e o
destino trocado por 192.168.0.252, porém XXX.YYY.ZZZ.AAA não sabe nada
disso, quem se encarrega de traduzir é o engenho de NAT.
Abraço!
2010/3/29 <redes(a)habil.eti.br>:
Olá...obrigado pela dica... mas não deu certo..
tipo se eu colocar esta regra
$IPTABLES -I FORWARD -s 192.168.0.252 -j ACCEPT
então libera o nata nesta regra
$IPTABLES -t nat -I PREROUTING -p tcp -i $IF_LINK --dport 3389 -j
DNAT --to
192.168.0.252:3389
porém desta forma esta liberando td para IP 192.168.0.252 eu preciso
somente
liberar determinada porta...
Se tiver alguma outra idéia....
Roberto
----- Original Message -----
From: Alejandro Flores
To: Lista de discussão voltada para os usuários brasileiros do Fedora
Sent: Monday, March 29, 2010 12:57 PM
Subject: Re: [Fedora-users-br] Firewall
Olá,
As regras de forward que você criou são da rede interna para fora. Quando
você faz um dnat, você está jogando trafego de fora para dentro, então
precisa criar uma regra que libera esse repasse, exemplo:
$IPTABLES -I FORWARD -d 192.168.0.252/32 -p tcp --dport 3389 -j ACCEPT
Qlq duvida, manda ai.
Abraço!
Em mar 29, 2010 9:39 AM, <redes(a)habil.eti.br>escreveu:
Salve galera....
Uso esta regra para travar td na rede
$IPTABLES -I FORWARD -s $NT_LAN -j DROP
então vou liberando confirme necessidade tipo:
$IPTABLES -I FORWARD -s $NT_LAN -p tcp --dport 110 -j ACCEPT
$IPTABLES -I FORWARD -s $NT_LAN -p tcp --dport 25 -j ACCEPT
Agora preciso fazer uma regra de nat com:
$IPTABLES -I FORWARD -s $NT_LAN -p tcp --dport 3389 -j ACCEPT
$IPTABLES -t nat -I PREROUTING -p tcp -i $IF_LINK --dport 3389 -j
DNAT --to
192.168.0.252:3389
Meu problema é que o nat não funciona, somente se eu liberar comentar o:
###$IPTABLES -I FORWARD -s $NT_LAN -j DROP
Alguém poderia me dar uma dica?
Fico no aguardo
Roberto
--
Alejandro Flores
http://www.triforsec.com.br/
--
br-users mailing list
br-users(a)lists.fedoraproject.org
https://admin.fedoraproject.org/mailman/listinfo/br-users