The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Вариант для распечатки Архивированная нить - только для чтения! 
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [Проследить за развитием треда]

"ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 31-Июл-02, 18:18  (MSK)
Всем привет!
Начальные данные:
ЛВС с разделенной внутренней сетью: DMZ и доверительной, внешний мир через шлюз.
1) Внешний Шлюз - машина под ASP Linux 7.2 (ker. 2.4x.).  На нем установлен брандмауэр iptables ver. 1.2.4. установлен кэширующий сервер (nscd и named на перенаправление на внутрений DNS-DMZ).
Интерфейсы/ip-адрес:  
eth0 – внешний (Интернет)/ 211.33.195.47
eth1 – внутрений (DMZ) 192.168.5.95
Iptables – устанавливался при установки системы (rpm), ядро не перекомпилировалось.
В ДМЗ установлен почтовый сервер (отдельная машина).
Для внешнего мира машина является почтовым сервером. DNS-провайдера поднят, машина отзывается.
Echo > 1 … ip_forward – сделано.
SNAT – поднят и работает. DNAT – не функционирует и как следует шлюз не пере направляет трафик на внутренний  почтовый сервер.

2) Почтовый сервер машина под ASP Linux 7.2 (ker. 2.4x.). Sendmail, imap4, IP-адрес 192.168.5.80. Письма передаются и принимаются в пределах локальной сети. База доступа разрешает домен внутренний и внешний. Письма передаются во внешний мир, но, к сожалению, не принимаются по причине ниже следующей.


Внимание!!!
ПРОБЛЕМА: Как сделать так, чтобы на шлюзе было перенаправления почтового трафика на машину (mail-serv) в ДМЗ. Sendmail на шлюзе - сразу неприемлемо.
Короче помогите настроить, очень прошу.

МОИ УСИЛИЯ:

СКРИПТ НЕ ВЫДАЕТ НИ КАКИХ ОШИБОК!!!
ДАЖЕ, ЕСЛИ ДЕЛАЕШЬ ПОЛИТИКУ ПО УМОЛЧАНИЮ В ТАБЛИЦЕ filter ACCEPT И ТОЛЬКО ПРАВИЛА NAT, ВСЕРАВНО НЕ РАБОТАЕТ:

КАК ПРОВЕРЯЛ:
telnet 211.33.195.47 25
Truing 211.33.195.47…
telnet: connect to address 211.33.195.47: Connection refused

netstat – тоже не чего не показывает…

Письмо отсылаешь сам себе, выдает ошибка сокета на узле.

И самое главное опция –C (генерация пакетов, проверка правил) в iptables выдает:
Iptables: Will be implemented real soon. I promise ;) – ну и как себя после этого чувствовать?!

В одном форуме узнал об утилите redir:
/usr/local/sbin/redir --lport="локальный порт" --laddr="локальный адрес" --cport="порт, куда редиректить" --caddr="адрес,куда редиректить"
http://sammy.net/~sammy/hacks/redir-2.2.1.tar.gz
Короче, откомпилировал, то работает, то нет и причем в не фоновом режиме, если добавляешь еще один порт для перенаправления, то тоже не работает.
ВЫВОД: Думаю может в ядре чего-нибудь нет? Может перекомпилир.? Или утилита iptables старая.

ВОТ МОЙ СКРИПТ:
#!/bin/sh
echo "Starting firewalling"
IPTABLES="/sbin/iptables"            # имя и место нахождение утилиты

# ВНЕШНИЕ ПАРАМЕТРЫ
EXT_IPADDR="211.33.195.47"               # внешний IP-адрес брандмауера
EXT_INTERF="eth0"                    # внешний интерфейс брандмауера
ANYWHERE="0/0"                       # произвольный ip-адрес
NAMESERVER_1="215.44.120.6"            # DNS-сервер 1 провайдера
NAMESERVER_2="195.78.143.5"            # DNS-сервер 2 провайдера

# DMZ ПАРАМЕТРЫ
LAN_DMZ="192.168.5.0/24"             # DMZ сеть
LAN_IPADDR_DMZ="192.168.5.95"        # DMZ адрес брандмауера
LAN_DMZ_INTERF="eth1"                # DMZ интерфейс брандмауера
# ВНУТРЕНЕЙ ПЕТЛИ ПАРАМЕТРЫ
LO_IFACE="lo"                        # петлевой интерфейс
LO_IP="127.0.0.0/8"                  # петлевой адрес
# Внутренние сервера
MAIL_IP="192.168.5.80"             # IP-адрес внутреннего почтового сервера
FTP_IP="192.168.5.80"              # IP-адрес внутреннего файлового сервера


# ДРУГИЕ ПАРАМЕТРЫ
CLASS_A="10.0.0.0/8"                 # адреса класса А, предназначенные
                                     # для внутреннего использования
CLASS_B="172.16.0.0/12"              # адреса класса B, предназначенные
                                     # для внутреннего использования
CLASS_C="192.168.0.0/16"             # адреса класса C, предназначенные
                                     # для внутреннего использования
CLASS_D="224.0.0.0/4"                # адреса класса D, предназначенные
                                     # для группового вещания               
BROADCAST_SRC="0.0.0.0"              # исходный широковещательный адрес
BROADCAST_DEST="255.255.255.255"     # целевой широковещательный адрес
PRIVPORTS="0:1023"                  # номера привилегированных портов
UNPRIVPORTS="1024:65535"             # номера непривилегированных портов
TRACEROUTE_SRC_PORTS="32769:65535"   # порты источника утилиты TRACEROUTE
TRACEROUTE_DEST_PORTS="33434:33523"  # порты источника утилиты TRACEROUTE

SSH_PORTS="1020:1023"                # число одновременных соединений

#|||||||||||||||||||||----ПОЕХАЛИ!!!!!----||||||||||||||||||||||||||||||||||||
# Прелюдия
# Включаем поддержку перенаправления пакетов
echo "1" > /proc/sys/net/ipv4/ip_forward

# Запрещаем фрагментированные пакеты
# $IPTABLES -A INPUT -F -o $LAN_DMZ_INTERF -j DROP

# Разрешить защиту TCP SYN cookie
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# Разрешить защиту от фальсификации IP-адресов.
# Включить проверку исходных адресов
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 > $f
done

# Запретить ICMP-перенаправление
for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do
        echo 0 > $f
done

# Запретить пакеты с маршрутом к источнику
for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do
echo 0 > $f
done
# Удаление существующих правил из всех цепочек
$IPTABLES -F

#  
# Установка политики запрета по умолчанию
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

# Разрешить неограниченный трафик через интерфейс петли
$IPTABLES -A INPUT -i $LO_IFACE -j ACCEPT
$IPTABLES -A OUTPUT -o $LO_IFACE -j ACCEPT

# Разрешить локальный интерфейс
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -j ACCEPT

##############################################
# Цепочки для обработки входящих ICMP-пакетов#
##############################################

# Входящие пакеты ping (8)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type echo-reply -d $EXT_IPADDR -j ACCEPT

# Входящие данные, передаваемые при определении размера узла,
# что узел или сервер недоступны; отклик traceroute (3)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type destination-unreachable -d $EXT_IPADDR -j ACCEPT

# Входящие запросы с требованием замедления передачи (4)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type source-quench -d $EXT_IPADDR -j ACCEPT
  
# Входящие сообщения о тайм-ауте, а также TTL-сообщения traceroute (11)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type time-exceeded -d $EXT_IPADDR -j ACCEPT

# Входящие сообщения об ошибках (12)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type parameter-problem -d $EXT_IPADDR -j ACCEPT

###############################################
# Цепочки для обработки изходящих ICMP-пакетов#
###############################################
#
# Исходящие пакеты ping (8)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type echo-request -d $ANYWHERE -j ACCEPT

# Исходящие данные, передаваемые при определении размера узла,
# что узел или сервер недоступны; отклик traceroute (3)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type destination-unreachable -d $ANYWHERE -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type fragmentation-needed -d $ANYWHERE -j ACCEPT

# Исходящие запросы с требованием замедления передачи (4)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type source-quench -d $ANYWHERE -j ACCEPT
# Исходящие сообщения о тайм-ауте, а также TTL-сообщения traceroute (11)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type time-exceeded -d $ANYWHERE -j ACCEPT

# Исходящие сообщения об ошибках (12)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type parameter-problem -d $ANYWHERE -j ACCEPT


# Фальсификация пакетов и недопустимые адреса
#

# Запретить пакеты, в которых в качестве адреса источника указан IP-адрес
# вашего брандмауера
$IPTABLES -A INPUT -i $EXT_INTERF -s $EXT_IPADDR -j DROP
# Запретить пакеты, в которых в качестве адреса источника указан IP-адрес
# петли
$IPTABLES -A INPUT -i $EXT_INTERF -s $LO_IP -j DROP
# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу А
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_A -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу B
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_B -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу C
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_C -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу D
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_D -j DROP
# Запретить некоторые широковещательные пакеты
$IPTABLES -A INPUT -i $EXT_INTERF -s $BROADCAST_DEST -j DROP
$IPTABLES -A INPUT -i $EXT_INTERF -s $BROADCAST_SRC -j DROP
#&&&&&&&&&&&&&&&&&&&

##########################################################################
# DNS #                                                                  #
#######

# DNS1 в режиме клиента  

$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# DNS-сервер в режиме кэширования и перенаправления
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport 53 \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport 53 -j ACCEPT                        
#########
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT
#####

# DNS2 в режиме клиента  

$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# DNS-сервер в режиме кэширования и перенаправления
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport 53 \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport 53 -j ACCEPT                        
#########
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

######################################################################

# HTTP-клиент (80)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 80 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 80 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SSL-клиент (443) (защищенные web)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 443 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 443 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# POP (110) - Получение почты посредством POP-клиента

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 110 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 110 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# IMAP (143) - Получение почты посредством POP-клиента

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 143 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 143 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SMTP (25) - клиент

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 25 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SSH (22) - клиент (защищенный Telnet)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 22 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 22 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $SSH_PORTS \
  -d $ANYWHERE --dport 22 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 22 \
          -d $EXT_IPADDR --dport $SSH_PORTS -j ACCEPT

# FTP (20, 21) - Обращение клиентов к удаленным FTP-серверам

# Исходящий запрос
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 21 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 21 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# Режим нормального канала данных (normal data channel port mode)
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp \
          -s $ANYWHERE --source-port 20\
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp ! --syn \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 20 -j ACCEPT

# Режим пассивного канала данных (passive data channel mode)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

###&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&###
#          ВНУТРЕННИЕ СЕРВЕРА ДМЗ

# SMTP 1 Получение сообщений, предназначенных для локальных машин
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $EXT_IPADDR --dport 25 -j ACCEPT
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp ! --syn \
          -s $EXT_IPADDR --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -p tcp \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $MAIL_IP --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -p tcp ! --syn \
          -s $MAIL_IP --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT
# SMTP 2 Сервер ДМЗ посылает письма с локальных машин на удаленные узлы.
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -p tcp \
          -s $MAIL_IP --source-port $UNPRIVPORTS \
          -d $ANYWHERE --dport 25 -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 25 \
          -d $MAIL_IP --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
          -s $EXT_IPADDR --source-port $UNPRIVPORTS \
          -d $ANYWHERE --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp --syn \
          -s $ANYWHERE --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT


#------------------------------------------------------------------------------
# Цепочка перенаправления из ИНТЕРНЕТ в ДМЗ
# Конфигурация входящего и исходящего почтового сервера

$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 25 \
-j DNAT --to-destination $MAIL_IP

# ИЛИ ТАК, всеравно не работает
#$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport #25 \
#-j DNAT --to-destination $MAIL_IP:25

$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 143 \
-j DNAT --to-destination $MAIL_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 110 \
-j DNAT --to-destination $MAIL_IP
# Конфигурация файлового сервера
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 21 \
-j DNAT --to-destination $FTP_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 20 \
-j DNAT --to-destination $FTP_IP

# Цепочка NAT из ДМЗ в ИНТЕРНЕТ
$IPTABLES -t nat -A POSTROUTING -o $EXT_INTERF -j SNAT --to-source $EXT_IPADDR
#------------------------------------------------------------------------------

##############
# TRACEROUTE #
##############
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
          -s $EXT_IPADDR --source-port 32769:65535 \
  -d $ANYWHERE --dport 33434:33523 -j ACCEPT
# Цепочка FORWARD
#$IPTABLES -A FORWARD -i $LAN_DMZ_INTERF -j ACCEPT
#$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $LAN_DMZ_INTERF -o $EXT_INTERF -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 143 -j ACCEPT

$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 25 -j ACCEPT      

# ИЛИ ТАК, всеравно не работает
#$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
#         -s $EXT_INTERF --sport 25 \
#         -d $MAIL_IP --dport 25 -j ACCEPT
#

#------------------------------------------------------------------------------

echo "DONE!!!"
exit 0


БОЛЬШОЕ СПАСИБО ЗА ВАШЕ ВНИМАНИЕ


С уважением,
Ncskiber

Если нужно:
me mail: ncskiber@mail.ru

  Рекомендовать в FAQ | Cообщить модератору | Наверх

 Оглавление

Индекс форумов | Темы | Пред. тема | След. тема
Сообщения по теме

1. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Sampan Искать по авторуВ закладки on 31-Июл-02, 23:15  (MSK)
Есть гипотеза.

Таблица POSTROUTING работает самой последней. Не перекрывает ли она PREROUTING именно для MAIL_IP, т.к. он попадает под правила обоих таблиц? Тогда SNAT работает, а DNAT - нет.

Попробуй изменить правило SNAT на:
$IPTABLES -t nat -A POSTROUTING -o $EXT_INTERF -s ! $MAIL_IP -j SNAT --to-source $EXT_IPADDR

Т.е. гарантированно исключить MAIL_IP из возможного конфликта PREROUTING vs POSTROUTING

Если не поможет - будем дальше думать. Тогда напиши результаты
lsmod
route -n

Любопытная задачка.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 01-Авг-02, 11:03  (MSK)
Спасибо! Попробую, о новостях дам знать!!!
  Рекомендовать в FAQ | Cообщить модератору | Наверх

3. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 01-Авг-02, 13:32  (MSK)
К сожалению, не помогло.
Я думаю дело в ядре.
Вы сами каким дистрибутивом и iptables пользуйтесь на брандмауэре (версия? название?)???
oViX - на паралелльном разделе форума "Информационная безопасность" дал совет. Он тоже не помог.

Если у Вас подобная задача о перенаправлении, дайте плз.. ваши правила (сценарий).

А вот информация которую просили + еще:
lsmod
route -n

и правила для filter и nat по опции iptables -L -v -n -x

##### lsmod:

Module                  Size  Used by
nls_cp437               4320   1  (autoclean)
vfat                   10268   1  (autoclean)
fat                    32824   0  (autoclean) [vfat]
ip6_tables             11840   0  (unused)
nls_iso8859-1           2816   2  (autoclean)
ide-cd                 27040   1  (autoclean)
cdrom                  28544   0  (autoclean) [ide-cd]
ipt_state               1120   1  (autoclean)
iptable_nat            18004   0  (autoclean) (unused)
ip_conntrack           16908   2  (autoclean) [ipt_state iptable_nat]
iptable_filter          2240   0  (autoclean) (unused)
ip_tables              11392   5  [ipt_state iptable_nat iptable_filter]
3c59x                  26472   1
8139too                13056   1
usb-uhci               21604   0  (unused)
usbcore                51584   1  [usb-uhci]
ext3                   62380   2
jbd                    40704   2  [ext3]

######### route -n:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
211.33.195.47   0.0.0.0         255.255.255.252 U     0      0        0 eth1
192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         211.33.195.47   0.0.0.0         UG    0      0        0 eth1

########## tab -> filter:

Chain INPUT (policy DROP 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination        
       2      100 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0          
      11     2939 ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0          
       0        0 ACCEPT     icmp --  eth1   *       0.0.0.0/0            211.33.195.47     icmp type 0
       0        0 ACCEPT     icmp --  eth1   *       0.0.0.0/0            211.33.195.47     icmp type 3
       0        0 ACCEPT     icmp --  eth1   *       0.0.0.0/0            211.33.195.47     icmp type 4
       0        0 ACCEPT     icmp --  eth1   *       0.0.0.0/0            211.33.195.47     icmp type 11
       0        0 ACCEPT     icmp --  eth1   *       0.0.0.0/0            211.33.195.47     icmp type 12
       0        0 DROP       all  --  eth1   *       211.33.195.47       0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       127.0.0.0/8          0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       172.16.0.0/12        0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       192.168.0.0/16       0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       224.0.0.0/4          0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       255.255.255.255      0.0.0.0/0          
       0        0 DROP       all  --  eth1   *       0.0.0.0              0.0.0.0/0          
       3      407 ACCEPT     udp  --  eth1   *       215.44.120.6         211.33.195.47     udp spt:53 dpts:1024:65535
       3      446 ACCEPT     udp  --  eth1   *       215.44.120.6         211.33.195.47     udp spt:53 dpt:53
       0        0 ACCEPT     tcp  --  eth1   *       215.44.120.6         211.33.195.47     tcp spt:53 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     udp  --  eth1   *       195.78.143.5         211.33.195.47     udp spt:53 dpts:1024:65535
       0        0 ACCEPT     udp  --  eth1   *       195.78.143.5         211.33.195.47     udp spt:53 dpt:53
       0        0 ACCEPT     tcp  --  eth1   *       195.78.143.5         211.33.195.47     tcp spt:53 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:80 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:443 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:110 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:143 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:25 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:22 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:22 dpts:1020:1023 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:21 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spt:20 dpts:1024:65535
       3      154 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spts:1024:65535 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp spts:1024:65535 dpt:25
       0        0 ACCEPT     tcp  --  eth0   *       192.168.5.80        0.0.0.0/0          tcp spt:25 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  eth0   *       192.168.5.80        0.0.0.0/0          tcp spts:1024:65535 dpt:25
       0        0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:25 dpts:1024:65535 flags:0x16/0x02

Chain FORWARD (policy DROP 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination        
     464    78629 ACCEPT     all  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          
     493   259938 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
       0        0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            192.168.5.80      tcp dpt:110
       0        0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            192.168.5.80      tcp dpt:143
       0        0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            192.168.5.80      tcp dpt:25

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination        
       2      100 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0          
       1      223 ACCEPT     all  --  *      eth0    0.0.0.0/0            0.0.0.0/0          
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 8
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 3
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 3 code 4
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 4
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 11
       0        0 ACCEPT     icmp --  *      eth1    211.33.195.47       0.0.0.0/0          icmp type 12
       3      175 ACCEPT     udp  --  *      eth1    211.33.195.47       215.44.120.6       udp spts:1024:65535 dpt:53
       3      199 ACCEPT     udp  --  *      eth1    211.33.195.47       215.44.120.6       udp spt:53 dpt:53
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       215.44.120.6       tcp spts:1024:65535 dpt:53
       0        0 ACCEPT     udp  --  *      eth1    211.33.195.47       195.78.143.5       udp spts:1024:65535 dpt:53
       0        0 ACCEPT     udp  --  *      eth1    211.33.195.47       195.78.143.5       udp spt:53 dpt:53
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       195.78.143.5       tcp spts:1024:65535 dpt:53
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:80
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:443
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:110
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:143
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:25
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:22
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1020:1023 dpt:22
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:21
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:20 flags:!0x16/0x02
       3      120 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spt:25 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  *      eth0    0.0.0.0/0            192.168.5.80      tcp spts:1024:65535 dpt:25
       0        0 ACCEPT     tcp  --  *      eth0    0.0.0.0/0            192.168.5.80      tcp spt:25 dpts:1024:65535 flags:!0x16/0x02
       0        0 ACCEPT     tcp  --  *      eth1    211.33.195.47       0.0.0.0/0          tcp spts:1024:65535 dpt:25
       0        0 ACCEPT     udp  --  *      eth1    211.33.195.47       0.0.0.0/0          udp spts:32769:65535 dpts:33434:33523

########## tab -> nat:

Chain PREROUTING (policy ACCEPT 71 packets, 5164 bytes)
    pkts      bytes target     prot opt in     out     source               destination        
       0        0 DNAT       tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp dpt:25 to:192.168.5.80
       0        0 DNAT       tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp dpt:143 to:192.168.5.80
       0        0 DNAT       tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp dpt:110 to:192.168.5.80
       0        0 DNAT       tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp dpt:21 to:192.168.5.80
       0        0 DNAT       tcp  --  eth1   *       0.0.0.0/0            211.33.195.47     tcp dpt:20 to:192.168.5.80

Chain POSTROUTING (policy ACCEPT 1 packets, 60 bytes)
    pkts      bytes target     prot opt in     out     source               destination        
      61     2942 SNAT       all  --  *      eth1    0.0.0.0/0            0.0.0.0/0          to:211.33.195.47

Chain OUTPUT (policy ACCEPT 3 packets, 187 bytes)
    pkts      bytes target     prot opt in     out     source               destination        

  Рекомендовать в FAQ | Cообщить модератору | Наверх

4. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Евгений Искать по авторуВ закладки on 01-Авг-02, 15:04  (MSK)
>В одном форуме узнал об утилите redir:
>/usr/local/sbin/redir --lport="локальный порт" --laddr="локальный адрес" --cport="порт, куда редиректить" --caddr="адрес,куда редиректить"
>http://sammy.net/~sammy/hacks/redir-2.2.1.tar.gz

Это я писал, причем в этом форуме :)
>Короче, откомпилировал, то работает, то нет и причем в не фоновом режиме,
Работают 6 редиров как из пушки, разруливают кашу из реальных и фейковых адресов
чтобы было в фоновом режиме - в конце строки запуска ставится &
>если добавляешь еще один порт для перенаправления, то тоже не работает.

"еще один порт" - это как? он (редир) слушает один порт и перебрасывает коннекты к нему на удаленный порт. Нужна ещё одна пара - запускаешь еще один редир.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

5. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 01-Авг-02, 15:22  (MSK)
привет, Евгений.
Я делал на 25 вроде работает, потом на 110 и стоп не работает. Незнаю может одной строчкой все порты надо было указать?! И еще при компиляции выдало одну ошибку по функции 'time'. А DNAT в iptables не пользовался для схожей задачи?

Спасибо!


  Рекомендовать в FAQ | Cообщить модератору | Наверх

6. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Sampan Искать по авторуВ закладки on 01-Авг-02, 17:59  (MSK)
По поводу версий - стабильные версии kernel-2.4.18 & iptables-1.2.6a работают замечательно на многих роутерах в разных конфигурациях


Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
211.33.195.47   0.0.0.0         255.255.255.252 U     0      0        0 eth1
192.168.5.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         211.33.195.47   0.0.0.0         UG    0      0        0 eth1

Здесь только маршруты на сети. А где маршруты на собственные интерфейсы?
211.33.195.47   0.0.0.0         255.255.255.255 UH    0      0        0
и
192.168.5.95    0.0.0.0         255.255.255.255 UH    0      0        0


Стоп-стоп! Ошибка очевидная!
211.33.195.47   0.0.0.0         255.255.255.252 U  
- это маршрут для сети, а у тебя хост 211.33.195.47. Адреса хоста и сети не могут совпадать!
Разбирайся. Это кривизна!

Вау! Да у тебя не совпадают адреса и интерфейсы в скрипте iptables и в таблице маршрутизации!
># ВНЕШНИЕ ПАРАМЕТРЫ
>EXT_IPADDR="211.33.195.47"               # внешний IP-адрес брандмауера
>EXT_INTERF="eth0"                    # внешний интерфейс брандмауера

А в таблице маршрутизации что написано? - eth1 !!!!
Не понятно, как это вообще работает.

Короче - приводи все в порядок.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

7. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 08-Авг-02, 18:52  (MSK)
С таблицой маршрутизации все нормально, просто я плохо ее замаскировал, торопился Вам ответить :)
DNAT в вобщем то работает, но я понял, что собака зарыта в другом месте, первый признак был такой, что он по телнету отвечат с большим тормозом.
Пичина в DNS и Sendmail, крутится вертися письмицо.. Смотрите  в новой теме Знатокам DNS, Sendmail и Iptables...
  Рекомендовать в FAQ | Cообщить модератору | Наверх

8. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Sampan Искать по авторуВ закладки on 08-Авг-02, 21:46  (MSK)
Знаешь, честно говоря, уже влом разбираться с твоими наворотами. Есть золотое правило: "Не плоди сущьности без надобности".

Коли хочешь именно такую конфигурацию, плата за это - твоя головная боль (сам того пожелал)

Могу дать один совет. Поставь на firewall шлюзе Qmail в режиме SMTP router на внутренний sendmail, а тому скажи, что выход в интернет через relay (smart relay).

P.S. Всегда с грустью думаю, что будет с конторами, в которых работают (чудят) админы вроде тебя, когда эти админы увольняются. Полный крах! В этом-же ни кто не разберется! Самое смешное - это не означает нормальной безопасности.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

9. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 09-Авг-02, 11:49  (MSK)
Специально для господина Sampan – Великого админа!!!


ЭМОЦИИ:
Зачем отвечал? Ты мог и просто проигнорировать… А что значит в твоем понимании нормальная безопасность? Я вот себя в этом лично не считаю спецом, а только в меру своих возможностей стремлюсь к этому. Думаю и ты не на все сто, тогда зачем принижать достоинство других?!
По поводу конфигурации: я бы не сказал, что моя конфигурация является эксклюзивной, а напротив даже чем-то тривиальной…
Каждый проходит свой путь и набивает себе шишки, другой вопрос, что пройти его можно вместе сообща, помогая друг другу.
Еще назови меня ламером, а я отвечу да я ламер :) Все!!!

ПО ДЕЛУ: Большое спасибо за совет, но DNAT с данной конфигурацией становиться не нужным… Или я не прав. В этом случаи, чем лучше Qmail  sendmailа?

P. S. Если делать все по уму, то после тебя разберутся, но каждый новоприходящий все равно стремиться делать по своему. Больше слов нет…

Спасибо за внимание,
ncskiber


  Рекомендовать в FAQ | Cообщить модератору | Наверх

12. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Sampan Искать по авторуВ закладки on 13-Авг-02, 11:27  (MSK)
>ЭМОЦИИ:

Согласен.
Извини за грубость - был не прав.

>В этом случаи, чем лучше Qmail  sendmailа?
IMHO Qmail значительно более безопасен, чем sendmail. Тому лучшее доказательство - уже сколько лет существует версия Qmail 1.03 без bug/security fix'ов.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

13. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 13-Авг-02, 11:49  (MSK)
>>ЭМОЦИИ:
>
>Согласен.
>Извини за грубость - был не прав.
>
>>В этом случаи, чем лучше Qmail  sendmailа?
>IMHO Qmail значительно более безопасен, чем sendmail. Тому лучшее доказательство - уже
>сколько лет существует версия Qmail 1.03 без bug/security fix'ов.

Для Sampan:
К сожалению, времени у меня, как и у всех, ограничено, поэтому, да и по политическим соображениям, я решил немного отойти (на время) от своей конфигурации и сделать проще (т.е. старым проверенным, но не лучшим способом). Однако думаю в скором времени вернусь к этой проблематике, потому, как и в будущем новый опыт может пригодиться, да и лучше происходит понимание сетей.

P. S. К стати с Larin M. в этом же форуме мы начали обсуждать эту проблему и по его словам у него подобная конфигурация, и причем работает (спасибо и ему за интерес). Я думаю, у меня тоже в принципе, должен работать FTP, WEB, потому как у этих служб не проверки на «доменность» пользователей, как в sendmail. Поэтому переадресация работает.
В моем случаи я все же склоняюсь к ошибкам в работе DNS, хотя я пробовал играться с virtualusers (ч-то тоже не работало :). Короче надеюсь скоро опять начну себя «мучить». :) Обращу внимание на Qmail...

Спасибо за внимание!
Ncskiber

  Рекомендовать в FAQ | Cообщить модератору | Наверх

10. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от Larin M. emailИскать по авторуВ закладки on 12-Авг-02, 14:08  (MSK)
INT_INTERF="eth1"
$IPTABLES -A PREROUTING -p tcp -i $EXT_INTERF --dport smtp -t nat -j DNAT --to-destination $MAIL_IP:smtp
$IPTABLES -A POSTROUTING -p tcp -o $INT_INTERF -d $MAIL -t nat -j SNAT --to-source $LAN_IPADDR_DMZ
$IPTABLES -A FORWARD -i $EXT_INTERF -p tcp --syn -d $MAIL -j ACCEPT                                                                            
$IPTABLES -A FORWARD -o $EXT_INTERF -p tcp -s $MAIL -m state --state ESTABLISHED,RELATED -j ACCEPT                                                      
Подобная конструкция (только не почта) у меня работает уже давно. Только входящее соединение (специфика, снимается легко). Внешний сервер думает, что отвечающий находится на данном хосте localhost, внутренний думает, что почта приходит от $LAN_IPADDR_DMZ. Почтовик настраивается соответственно.
Кстати, если SNAT не использовать, может, будет логичней...
  Рекомендовать в FAQ | Cообщить модератору | Наверх

11. "RE: ПОМОГИТЕ С DNAT в IPTABLES!!! НЕ ХОЧИТ РАБОТАТЬ!"
Сообщение от ncskiber emailИскать по авторуВ закладки on 12-Авг-02, 17:47  (MSK)
Спасибо за ответ, как освобожусь, то по подробнее напишу...

P.S. Я пока пошел по простому варианту...

  Рекомендовать в FAQ | Cообщить модератору | Наверх


Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру