staging.inyokaproject.org

Hallo zusammen,

ich habe ein Problem mit iptables.

Folgende Situation:

Ubuntu Linux 7.10 Server
VMware 1.0.6 mit mehrern Windows und auch Linux VM's.

Alle VM's sind über OPENVPN (10.100.10.0/24) und dem normalen VMnet (172.16.91.0/24) mit dem Server verbunden.
Der Server hat 5 externe IP adressen, welche auch anpingbar sind.

Mein Problem ist folgendes, ich hätte gerne eine Firewall-Rule, welche mir
z.B. alle Anfragen auch die Externe IP 123.456.789.110 auf port 3389 reinkommen, auf die Windows VM 1 (10.100.10.5) oder VMnet (172.16.91.5)
weitegeleitet werden.

Der Server erreicht die VM's über beide internen IP's.

Kann mir wer helfen?

Danke!!!

Grüße
Ben

Hi,

iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 10.100.10.5

Alle TCP-Pakete (-p tcp) die auf Port 3389 ankommen (--dport 3389) werden mit Hilfe des DNAT-Mechanismus (-j DNAT) auf die IP 10.100.10.5 (--to-destination 10.100.10.5) geroutet.
Die Regel wird an die Prerouting-Kette der NAT-Tabelle (-t nat) angehangen (-A PREROUTING).

Für mehr Infos zu DNAT:
Quelle

gruß

*edit*
iptables für allgemeine Infos zu iptables

Hallo,

vielen Dank für deine Antwort aber ich glaub ich stelle mich da einfach etwas zu blöde an ☺

Theoretisch sollte er es nun weiterleiten aber irgendwie geht es einfach ned :-/

Theoretisch müsste es ja dann so sein oder:

iptables -t nat -A PREROUTING -d 78.47.72.xx -p tcp --dport 3389 -j DNAT --to-destination 10.100.10.5

muss ich dann die Firewall nochmal neustarten damit er es nimmt?

Ich habe auch Webmin aufm Server, jedoch zeigt er die Regeln mir da nicht an.. aber das ist wohl ein anderes thema oder?

Danke!

EDIT:

die verbindung scheint doch irgendwie durchzugehen... denn nun bekomm ich die meldung:

Die Sitzung wird aufgrund eines Protokollfehlers getrennt....

Eigentlich müsste ich ja mit

iptables -t nat -A PREROUTING -d 78.47.72.xx -j DNAT --to-destination 10.100.10.5

alle pakete routen können.. geht aber leider nicht :-/

Hi,

also iptables Regeln sind aktiv wenn man sie absetzt (in der konsole). Nach einem Neustart sind sie weg - man muss sich also ein Skript bauen, das beim booten ausgeführt wird, wenn man sie permanent haben möchte.

-d 78.47.72.xx

das bedeutet, das du nur Pakete, die von dieser IP kommen routest, ist das gewollt (und sind die beiden xx eigentlich Zahlen? 😈 )
Hatte dich eingangs so verstanden, dass du alles auf Port 3389 reinkommende durchschleifen möchtest.

Um herrauszufinden, ob die Pakete durchgehen kannst du eine Logging-Regel z.B. am Ende der Forward-Kette anhängen und dann in den Logs mitlesen.

iptables -t filter -A FORWARD -j LOG --log-prefix "[FORWARD: passed]"

(Die Policy der FORWARD-Chain muss auf ACCEPT stehen)
Wenn die Pakete wie gewünscht geroutet werden, würden sie dann im Log auftauchen.

Webmin kommt mir grad zum ersten mal unter - werde mal nachschaun, was des eigentlich ist 😉
(–→ zu umfangreich um es eben zu erörtern 😈 )

Achso, und um Routing überhaupt zu aktivieren, musst du

echo "1" > /proc/sys/net/ipv4/ip_forward

noch absetzen.
(auch diese Einstellung geht nach einem Neustart verloren)

gruß