Ajuda Iptables (Redirect) [RESOLVIDO]

marcos1983
(usa Debian)

Enviado em 08/08/2011 - 19:28h

Srs.,

Estou com uma dúvida para fazer um redirecionamento com o Iptables. Não conheço nada do iptables e a versão que instalei do Debian já veio com o Iptables v1.4.8. O cenário é o seguinte.

Tenho 2 servidores Linux, sendo 1 deles firewall/compartilhador de internet (equipamento com 2 interfaces de rede) e o outro 1 webserver (virtualizado no VirtualBox). No equipamento que é o Firewall ainda não tenho nenhum script com regras de iptables, porém necessito que o meu webserver esteja disponibilizado na internet pela porta 8082. Tentei criar diversas regras e não obtive sucesso em nenhuma delas. Vou postar abaixo testes de configurações que fiz no iptables, se alguem tiver alguma sugestão do que eu posso fazer para resolver esse problema, ficarei muito grato.

Firewall/Compartilhador de Internet
Eth0: 192.168.15.111
Eth1: Ip Dinamico do Virtua
Compartilhamento de Internet: iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Preciso que os usuários externos tenham acesso na porta 8082 do servidor 192.168.15.110 acessando pelo endereço da WAN (Eth1). Isso funcionava antes sem problemas fazendo o redirect por um roteador Linsys, agora que mudei para o iptables não estou conseguindo.

Abaixo é um retorno do meu history com todas as minhas tentativas de fazer esse redirect com as informações que encontrei na internet. Além da porta 8082, preciso fazer redirecionamentos para 3389 (TS) entre outras..... Desde já agradeço a atenção....

287 iptables -A INPUT -p tcp -m multiport --dport 8082 -j ACCEPT
288 iptables -A FORWARD -d 192.168.15.110 -i -o eth1 -j ACCEPT
289 iptables -A FORWARD -d 192.168.15.110/24 -i ppp+ -o eth1 --dport 8082 -j ACCEPT
290 iptables -A FORWARD -d 192.168.15.110/24 -i -o eth1 --dport 8082 -j ACCEPT
291 iptables -A FORWARD -d 192.168.15.110/24 -i eth1 --dport 8082 -j ACCEPT
292 iptables -A FORWARD -d 192.168.15.110/24 -o eth1 --dport 8082 -j ACCEPT
293 iptables -A FORWARD -d 192.168.15.110 -o eth1 --dport 8082 -j ACCEPT
294 iptables -A FORWARD -d 192.168.15.110 -i ppp+ -o eth0 dport 8082 -j ACCEPT
295 iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j
301 iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 8082 -j REDIRECT --to-destination 192.168.15.110|24:8082
302 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j REDIRECT --to-port 8082 -d 192.168.15.0/24
303 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 8082 -d 192.168.15.0/24
304 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 8082 -d 192.168.15.110
305 iptables -t nat -A PREROUTING -i eth1 -p tcp -j REDIRECT --to-port 8082 -d 192.168.15.110
307 iptables -t nat -A PREROUTING -i eth1 -p tcp -j REDIRECT --to-port 8082 -d 192.168.15.110
308 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j REDIRECT --to-port 8082 -d 192.168.15.110
310 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j REDIRECT --to-port 8082 -d 192.168.15.110
311 iptables -t nat -A PREROUTING -d 192.168.15.110 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110:8082
315 iptables -t nat -A PREROUTING -d eth1 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110:8082
316 iptables -t nat -A PREROUTING -d 189.121.176.43 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110:8082
319 iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110:8082
321 iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110
324 iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 192.168.15.110
326 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j DNAT --to 192.168.15.110:8082
333 iptables -t nat -A PREROUTING -d 189.121.176.43 -p tcp --dport 8082 -j DNAT --to 192.168.15.110:8082
335 iptables -t nat -A PREROUTING -d 189.121.176.43 -p tcp --dport 8082 -j DNAT --to 192.168.15.110
341 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j DNAT --to-destination 192.168.15.110
342 iptables -t nat -A PREROUTING -i eth1 -p udp --dport 8082 -j DNAT --to-destination 192.168.15.110
348 iptables -t nat -A PREROUTING -s 189.121.176.43 -i eth1 -j DNAT --to 192.168.15.110
376 iptables -t nat -A PREROUTING -i eth1 -s 192.168.15.111:8082 -j DNAT --to 192.168.15.110:8082
377 iptables -t nat -A PREROUTING -i eth1 -s 192.168.15.111 -j DNAT --to 192.168.15.110:8082
378 iptables -t nat -A PREROUTING -i eth1 -s 192.168.15.111 -j DNAT --to 192.168.15.110-192.168.15.110:8082:8082
379 iptables -t nat -A PREROUTING -i eth1 -s 192.168.15.0/24 -j DNAT --to 192.168.15.110-192.168.15.110:8082:8082
389 iptables -t nat -A PREROUTING -p http -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port 8082
390 iptables -t nat -A PREROUTING -p http -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port 8083
391 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port 8083
393 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110:8082 --dport 8082 -j REDIRECT --to-port 8083
394 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 80 -j REDIRECT --to-port 8082
395 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port 8082
396 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 80 -j REDIRECT --to-port 8082
398 iptables -t nat -A PREROUTING -p tcp -i eth0 -d 192.168.15.110 --dport 80 -j REDIRECT --to-port 8082
400 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port 8082
441 iptables -t nat -A PREROUTING -p tcp -i webserver.manchuria.com.br -d 192.168.15.110 --dport 80 -j REDIRECT --to-port 8082
442 iptables -t nat -A PREROUTING -p tcp -i eth0 -d 192.168.15.110 --dport 80 -j REDIRECT --to-port 8082
451 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT --to-port -d 192.168.15.110:8082
452 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j REDIRECT -d 192.168.15.110 --to-port 8082
453 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 192.168.15.110 --dport 8082 -j ACCEPT
455 iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 8082 -j REDIRECT --to-port 8082
465 iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 8082 --j DNAT --to-destination 192.168.15.110
467 iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 8082 --j DNAT --to-destination 192.168.15.110
468 iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 8082 --j DNAT --to-destination 192.168.15.110
472 iptables -t nat -A PREROUTING -p tcp --dport 8082 -j DNAT --to 192.168.15.110
473 iptables -t nat -A PREROUTING -s 0/0 -p tcp --dport 80 -j REDIRECT --to-port 8082
474 iptables -t nat -A PREROUTING -p tcp --dport 8082 -i eth1 -j DNAT --to 192.168.15.110
487 iptables -t nat -A PREROUTING -p tcp --dport 8082 -i eth1 -j DNAT --to 192.168.15.110
490 iptables -t nat -A PREROUTING -p tcp --dport 8082 -i eth0 -j DNAT --to 192.168.15.110
493 iptables -t nat -A PREROUTING -p tcp --dport 8082 -i eth1 -j DNAT --to 192.168.15.110
496 iptables -A FORWARD -p tcp --dport 8082 -j ACCEPT
504 iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 8082 -j ACCEPT
507 iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 8082 -j ACCEPT
508 iptables -t nat -A PREROUTING -p tcp --dport 8082 -i eth1 -j DNAT --to 192.168.15.110

renato_pacheco
(usa Debian)

Enviado em 09/08/2011 - 10:42h

No seu caso, o lance não é REDIRECT e, sim, DNAT. No servidor web, a porta é 80? Se for, faça o seguinte:

iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 8082 -j DNAT --to-destination 192.168.15.110:80

Tem muita regra misturada ae, então limpe tudo e faça do zero:

# iptables -t nat -F
# iptables -F

Qual é a política? Deixe tudo ACCEPT só pra gente testar. Depois vc vai restringindo aos poucos.

marcos1983
(usa Debian)

Enviado em 09/08/2011 - 12:06h

Amigo....

Apliquei a regra abaixo e consegui fazer o redirect...

iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 3389 -j DNAT --to-destination 192.168.15.104:3389

Ontem coloquei um script pronto da internet de iptables e deixei rodando para a maquina não ficar totalmente vulnerável na internet.... Agora fiquei com uma dúvida.... Será que eu tinha que ter rodado alguma regra antes de criar a regra mostrada acima que deu certo o redirecionamento ?

Se realmente for isso, eu precisava saber como deve ser o meu script do iptables, pois a minha necessidade é somente ter dois redirects de TS (portas 3389/3390) para 2 equipamentos, 1 redirect no próprio servidor para a porta 8081 (webserver) e 22 (ssh), rede local totalmente liberada e qualquer outro acesso a na interface da internet bloqueado. Você teria algo pronto que atenda essa minha necessidade?

De qualquer forma já estou muito grato pela ajuda amigo.... Já me ajudou bastante, não testei na porta 8082 mas se funcionou na 3389 a regra praticamente é a mesma e tudo indica que irá funcionar.

Abraços e Obrigado !

renato_pacheco
(usa Debian)

Enviado em 09/08/2011 - 12:41h

Pronto eu não tenho, mas o mais certo é vc aprender como funciona o iptables em vez d ficar pegando coisas prontas, pq as regras q vc pegar prontas d um site nem sempre vão funcionar 100% na sua rede. Comece por aki:

http://www.frozentux.net/iptables-tutorial/iptables-tutorial.html

Sabe inglês?

marcos1983
(usa Debian)

Enviado em 09/08/2011 - 13:56h

Cara.... Sei mais ou menos, da pra se virar com um certo sufocoo...rrsss....
Mas de qualquer forma valeu....
Um grande abraço e muito obrigado !!!