Duvida script

pszepiura
(usa Ubuntu)

Enviado em 08/01/2009 - 16:49h

Bom tarde pessoal.

Estou com uma dúvida com relação a um script... estou fazendo alguns testes e estou alguns problemas.

Tenho um frame relay da BrTelecom onde:
O endereço da Wan é: 201.XXX.115.XXX
O gateway é: 201.XXX.49.25
O host do firewall é: 201.XXX.49.26
e tenho livre ainda os IPs do 27 até o 30.

Tenho o Ubuntu 8.10 configurado com as interfaces:
eth0 = 201.XXX.49.26
eth1 = 192.168.0.190

Fiz um script bem básico para direcionar as portas do VNC conforme abaixo.

#!/bin/bash

export IPTABLES=/sbin/iptables
export MODPROBE=/sbin/modprobe
ETH0=eth0
SRVTI02=192.168.0.250
MICROSIGA=192.168.0.240
IP=201.XXX.49.26

#### Carrega os módulos do iptables
$MODPROBE iptable_nat

#### Permitir acesso externo ao SRV-TI02
$IPTABLES -A FORWARD -i $ETH0 -p tcp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $ETH0 -p udp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p tcp -i $ETH0 --dport 5800:5900 -j DNAT --to $SRVTI02:5800-5900
$IPTABLES -t nat -A PREROUTING -p udp -i $ETH0 --dport 5800:5900 -j DNAT --to $SRVTI02:5800-5900

$IPTABLES -A PREROUTING -t nat -p tcp -d $IP --dport 1234 -j DNAT --to-destination $MICROSIGA
$IPTABLES -A PREROUTING -t nat -p udp -d $IP --dport 1234 -j DNAT --to-destination $MICROSIGA
$IPTABLES -A FORWARD -p tcp -j ACCEPT -d $MICROSIGA --dport 1234
$IPTABLES -A FORWARD -p udp -j ACCEPT -d $MICROSIGA --dport 1234

$IPTABLES -A INPUT -s 0/0 -d $IP -p tcp --dport 1234 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p tcp -s 0/0 --dport 1234 -i $ETH0 -j DNAT --to $MICROSIGA:1234

$IPTABLES -t nat -A POSTROUTING -o $ETH0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward


para que eu possa usar acessar pelo vnc este computador eu utilizo o endereço 201.XXX.49.26. mas não funciona, alguém tem ideia de se este script está correto... se tiver, porque não funciona?

Desde já agradeço.
Fabio A. Pszepiura

ventrue.w
(usa Debian)

Enviado em 08/01/2009 - 17:31h

Amigo, axu que vc teria de fazer um redirecionamento na verdade ne.. Vamos uporte que vc tenha um ip 1.1.1.1 na porta 2020 fixo, e deseja usar ele para acesso remoto em uma maquina de ip 2.2.2.2 na porta 2020

entao tera de usar um comando mais ou menos assim

iptables -t nat -A PREROUTING -i eth_internet_IP_FIXO -p tcp --dport 2020 DNAT --to-destination 2.2.2.2

Isso redireciona as conexões de entrada na eth_internet_IP_FIXO na porta 2020 para o IP 2.2.2.2 na porta 2020

Ah, e uam dica, se for utilizar tbm como firewall, nao esqueça de no começo do script fechar geral..

iptables -P OUTPUT DROP
iptables -P INPUT DROP
iptables -P FORWARD DROP

Isso ai bloqueia tudo... ai vc vai abrindo e dando as regras que necessita depois...

valew....

pszepiura
(usa Ubuntu)

Enviado em 09/01/2009 - 09:42h

#!/bin/bash

#### Variaveis
export IPTABLES=/sbin/iptables
ETH0=eth0
SRVTI02=192.168.0.250
IP=201.XXX.49.26

#### Carrega os módulos do iptables
$MODPROBE iptable_nat

#### Permitir acesso externo ao SRV-TI02
$IPTABLES -A FORWARD -i $ETH0 -p tcp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $ETH0 -p udp --dport 5800:5900 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p tcp -i $ETH0 --dport 5800:5900 -j DNAT --to-destination $SRVTI02:5800-5900
$IPTABLES -t nat -A PREROUTING -p udp -i $ETH0 --dport 5800:5900 -j DNAT --to-destination $SRVTI02:5800-5900

$IPTABLES -t nat -A POSTROUTING -o $ETH0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

Dei uma enxugada no script, mesmo assim não funcionou.
ventrue.w tentei conforme vc me passou e tbem não funcionou.

Obrigado.
Fabio

richardandrade
(usa Debian)

Enviado em 09/01/2009 - 10:36h

amigão nao li tudo, só li a pergunta rsrs, mas ta ae as regras de iptables

iptables -t nat -A PREROUTING -p tcp --dport 5900 -s 0/0 -j DNAT --to-destination ip:5900
iptables -A FORWARD -p tcp --dport 5900 -j ACCEPT

valeu e abraço

richardandrade
(usa Debian)

Enviado em 09/01/2009 - 10:43h

n to vendo a regra de FORWARD sua ? vc fez?

pszepiura
(usa Ubuntu)

Enviado em 13/01/2009 - 13:38h

Olá gente... alguém sabe o erro deste script... não consigo ter acesso a este computador de fora da minha rede.

#!/bin/bash

export IPTABLES=/sbin/iptables
export MODPROBE=/sbin/modprobe
REDE=192.168.0.0/24

$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
echo 1 > /proc/sys/net/ipv4/ip_forward

$IPTABLES -t nat -A PREROUTING -p tcp --dport 3389 -s 0/0 -j DNAT --to-destination 192.168.0.240:3389
$IPTABLES -A FORWARD -p tcp --dport 3389 -j ACCEPT

$IPTABLES -t nat -A POSTROUTING -s $REDE -o eth0 -j MASQUERADE
$IPTABLES -A FORWARD -o eth1 -m state --state NEW,INVALID -j DROP
$IPTABLES -A FORWARD -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i eth1 -s $REDE -j ACCEPT
$IPTABLES -A FORWARD -j DROP
$IPTABLES -A INPUT -j DROP

richardandrade
(usa Debian)

Enviado em 13/01/2009 - 17:57h

que computador vc ta falando o host 240?!

pszepiura
(usa Ubuntu)

Enviado em 13/01/2009 - 19:10h

Isso, o host 240, preciso ter acesso a ele da minha casa, mas pelo script acima não está dando certo... no servidor consigo pingar no host 240 e pelo site www.grc.com e a porta 3389 já esta aberta no firewall, mas mesmo assim não consigo acesso...

richardandrade
(usa Debian)

Enviado em 14/01/2009 - 08:48h

faz o seguinte, teste colocando o firewall uma peneira

#iptables -F && iptables -X && iptables -F -t nat && iptables -X -t nat && iptables -P FORWARD ACCEPT && iptables -P INPUT ACCEPT && iptables -p OUTPUT ACCEPT

e testa depois

PSZEPIURA
(usa Ubuntu)

Enviado em 14/01/2009 - 09:25h

Olá Richard... fiz estas alterações conforme vc havia orientado e passei um scan... tinham duas portas abertas mais a 3389. Porém a internet parou de funcionar no servidor...

Ainda estou neste impasse, sem conseguir fazer isso funcionar.

PSZEPIURA
(usa Ubuntu)

Enviado em 14/01/2009 - 09:37h

Quando eu dou um iptables -nL -t nat | grep 3389
o resultado é:
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3389 to:192.168.0.240:3389
DNAT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:3389 to:192.168.0.240:3389

Isso esta correto?

richardandrade
(usa Debian)

Enviado em 14/01/2009 - 10:19h

um outro teste... bota logo após as políticas as 2 regras

iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination IP:porta
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT

e tenta ae... se ate agora voce não consegue acessar, mesmo depois desses testes, exceto a peneira rsrs, alguma outra regra acima está barrando o acesso antes que chegue na regra de redirecionar para o servidor que vc quer.

não esquece de reiniciar o firewall

./firewall