2:32 p.m.
Auf meinem Router läuft ein Fedora, der Router ist das Gateway ins Netz
und von außen
sollen Portanfragen an die 2 Rechner im innern weiter geleitet werden,
nur seltsamerweise
funktioniert das nicht wirklich, ich bekomme immer ein "connection
refused" kann mir einer sagen warum?
hier ist der Ausschnitt der sich auf das Portforwarding bezieht aus
meinem Firewallskript,
ist da n Fehler?
--- schnipp --
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 4662 -i
ppp0 --to-destination 192.168.0.2
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED
-p tcp -s 0/0 -d 192.168.0.2
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 4711 -i
ppp0 --to-destination 192.168.0.2
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED
-p tcp -s 0/0 -d 192.168.0.2
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 8080 -i
ppp0 --to-destination 192.168.0.3
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED
-p tcp -s 0/0 -d 192.168.0.3
--- schnapp --
192.168.0.1 ist das Gateway 2,3 sind die Rechner im inneren
MfG
3:15 p.m.
---------- Original Message -----------
From: Ronny Fauth <jadefalkner(a)imperium-noctem.de>
To: Fedora discussions in German <fedora-de-list(a)redhat.com>
Sent: Mon, 15 Mar 2004 21:32:38 +0100
Subject: Portforwarding mit IP-Tables.....
Auf meinem Router läuft ein Fedora, der Router ist das Gateway ins
Netz und von außen sollen Portanfragen an die 2 Rechner im innern
weiter geleitet werden, nur seltsamerweise funktioniert das nicht
wirklich, ich bekomme immer ein "connection refused" kann mir einer
sagen warum?
hier ist der Ausschnitt der sich auf das Portforwarding bezieht aus
meinem Firewallskript,
ist da n Fehler?
--- schnipp --
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 4662 -i
ppp0 --to-destination 192.168.0.2
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,
RELATED -p tcp -s 0/0 -d 192.168.0.2 $IPTABLES -t nat -A PREROUTING -
j DNAT -p tcp -s 0/0 --dport 4711 -i ppp0 --to-destination
192.168.0.2 $IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,
ESTABLISHED,RELATED -p tcp -s 0/0 -d 192.168.0.2
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 8080 -i
ppp0 --to-destination 192.168.0.3
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,
RELATED -p tcp -s 0/0 -d 192.168.0.3
--- schnapp --
192.168.0.1 ist das Gateway 2,3 sind die Rechner im inneren
MfG
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
------- End of Original
Message -------
Hallo,
Selber hab ich noch nichts mit iptables zu tun ;-)
Aber ich habe gerade ein Buch vor mir liegen und lese es gerade zufällig ;-)
Laut meinem schlauen Buch sollte es so gehen:
- snip -
iptables -t nat -A PREROUTING ! -i eth0 -p tcp --destination-port 4662 -j DNAT
--to 192.168.0.2:4662
- snap -
Den großen Unterschied den ich hier sehe, ist das NIC was du angegeben hast.
Denn es sollte das interne Netzwerkinterface angegeben werden. und ppp0 klingt
eher als "externes" NIC.
Vielleicht hilft dir das ein wenig weiter.
lg
/*veit*/
3:19 p.m.
Veit Schopper wrote:
Den großen Unterschied den ich hier sehe, ist das NIC was du angegeben
hast.
Denn es sollte das interne Netzwerkinterface angegeben werden. und ppp0 klingt
eher als "externes" NIC.
ja, es ist ein externes, da ich persönlich alle anfragen AUS dem Netz an
die anderen Rechner weiterleiten will
also muß es sein.... :)
trotzdem danke
1:46 a.m.
Moin,
$IPTABLES -t nat -A PREROUTING -i $EXT_IF -p tcp --dport 80 -j DNAT --to
$HOST:xy
wobei $HOST die IP intern und xy den Port darstellt. Vorher muss
logischerweise noch:
$IPTABLES -t nat -P PREROUTING ACCEPT
sowas stehen. Dann sollte das weiterleiten.
regards,
Michael
3:15 a.m.
On Tue, 16 Mar 2004 08:46:29 +0100, Michael Weber wrote:
Moin,
$IPTABLES -t nat -A PREROUTING -i $EXT_IF -p tcp --dport 80 -j DNAT --to
$HOST:xy
wobei $HOST die IP intern und xy den Port darstellt. Vorher muss
logischerweise noch:
$IPTABLES -t nat -P PREROUTING ACCEPT
sowas stehen. Dann sollte das weiterleiten.
Diesen zweiten Schritt finde ich nicht logisch. Wozu brauchst Du noch
die default policy für PREROUTING?
Ronnys Regeln sehen auf den ersten Blick richtig aus. Ich würde an seiner
Stelle zumindest noch ein paar LOG Regeln hinzufügen, auch auf dem
Zielrechner, bis das Forwarding funktioniert. "Connection refused" klingt
nach einer REJECT Regeln oder einem unbesetzten Port. IP Forwarding per
/proc bzw. sysctl ist auch aktiviert?
--
3:51 a.m.
Hi,
Michael Schwendt schrieb:
>$IPTABLES -t nat -P PREROUTING ACCEPT
>sowas stehen. Dann sollte das weiterleiten.
Diesen zweiten Schritt finde ich nicht logisch. Wozu brauchst Du noch
die default policy für PREROUTING?
Braucht er nicht, sorry - das war logischer Unfug.
Aber wo ich gerade schreibe und wir fast beim Thema sind. Gibt es eine
fachlich gute, deutschsprachige, Sicherheitsliste für Linux allgmein und
meinenthalben RH, Fedora im besonderen? Klar liest man die Englischen
mit, aber gerade in dem Bereich - wo die Güte der Antwort extrem von der
Fragestellung abhängt wäre mir eine deutschsprachige als Ergänzung sehr
willkommen.
regards,
Michael
4:42 a.m.
Michael Schwendt wrote:
Ronnys Regeln sehen auf den ersten Blick richtig aus. Ich würde an
seiner
Stelle zumindest noch ein paar LOG Regeln hinzufügen, auch auf dem
Zielrechner, bis das Forwarding funktioniert. "Connection refused" klingt
nach einer REJECT Regeln oder einem unbesetzten Port. IP Forwarding per
/proc bzw. sysctl ist auch aktiviert?
Hallo Michael,
ja, ip-forwarding ist aktiviert, alles andere klappt ja auch Prima...
nur halt das Portforwarding nicht....
wie müßten denn die Regeln aussehen um die ereignisse mitzuloggen?
6:11 a.m.
Ups fast übersehen,
Ronny Fauth schrieb:
ja, ip-forwarding ist aktiviert, alles andere klappt ja auch Prima...
nur halt das Portforwarding nicht....
wie müßten denn die Regeln aussehen um die ereignisse mitzuloggen?
$IPTABLES -A INPUT -i $EXT_IF -p tcp --dport 22 -j log-and-accept
würde alles auf Port 22 mitloggen und annehmen. Ähnliches kannst Du auch
für reject und alles andere machen. Manchmal ganz nützlich, wenn man in
Hochzeiten von Wurmwellen einfach mal sehen will wieviel verseuchte PCs
versuchen eine Verbindung aufzubauen. Aber für das tatsächliche Logging
der Connects würde ich mich auf den TCP Wrapper und spawn in
/etc/hosts.allow bzw. .deny verlassen. Ein Paketfilter ist eigentlich
kein Logmechanismus... mal rein subjektiv gesprochen.
Was mich wieder zur Frage nach fachlich guten, deutschsprachigen
Sicherheitslisten bringt :-)
viele Grüße,
Michael
6:25 a.m.
On Tue, 16 Mar 2004 11:42:31 +0100, Ronny Fauth wrote:
wie müßten denn die Regeln aussehen um die ereignisse mitzuloggen?
Im einfachsten Fall identisch, jedoch mit -j LOG als Target und jeweils
*vor* den -j DNAT Regeln. Aus Deinem Beispiel:
$IPTABLES -t nat -A PREROUTING -p tcp -s 0/0 --dport 4662 \
-i ppp0 -j LOG
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 4662 \
-i ppp0 --to-destination 192.168.0.2
Auch gut: ... -j LOG --log-prefix "Hallo Welt: "
Sinnvoll wäre es, auch in der Forward Chain zu loggen, sowie in der
Output Chain und auf dem Zielrechner in der Input chain.
--
4:57 a.m.
Ich sehe grad, daß ein
iptables -L -t nat -nvx
das da bringt..... also eigentlich sollte er es doch machen, oder???? er
leitet doch alle anfragen von Port
4711 an 192.168.0.2:4711 weiter.......aber wieso kommt dann connection
refused??? fehlt da der Rückweg noch oder wie???
ich versteh das nicht
----
Chain PREROUTING (policy ACCEPT 1230 packets, 66284 bytes)
pkts bytes target prot opt in out
source destination
0 0 DNAT tcp -- ppp0 *
0.0.0.0/0 0.0.0.0/0 tcp dpt:4662 to:192.168.0.2
0 0 DNAT tcp -- ppp0 *
0.0.0.0/0 0.0.0.0/0 tcp dpt:4711 to:192.168.0.2:4711
0 0 DNAT tcp -- ppp0 *
0.0.0.0/0 0.0.0.0/0 tcp dpt:4712 to:192.168.0.3
Chain POSTROUTING (policy ACCEPT 27 packets, 1682 bytes)
pkts bytes target prot opt in out
source destination
12 600 MASQUERADE all -- * ppp0
192.168.0.0/16 0.0.0.0/0
Chain OUTPUT (policy ACCEPT 27 packets, 1682 bytes)
pkts bytes target prot opt in out
source destination
----
5:42 a.m.
Hi,
sag mal mich beschleicht der unbestimmte Verdacht, dass Du die Meldung
"connection refused" vermutlich nur aus Deinem eigenen Netz kriegst -
kann das sein?
Du sitzt an einer Workstation (nennen wir sie 192.168.0.7) und versuchst
jetzt einen Dienst über Euren Gateway (192.168.0.1) zu erreichen. Der
Gateway macht die Weiterleitung via portforwarding auf eine Maschine im
gleichen Netz, die nennen wir 192.168.0.3.
Korrekt?
Die lokale Ansprache über 192.168.0.3 direkt funktioniert aber?
Auch korrekt?
Dann kannst Du das vergessen - aus dem lokalen Netz wirst Du immer einen
"connection refused" bekommen. Von draussen funktioniert es trotzdem.
Frag mich bitte nicht detailiert warum - ich habe den gleichen Zauber
mit einem Webserver durch und letztlich nach zig Tagen kapituliert,
squid aufgesetzt und meine Ruhe gehabt :-) Irgendwo hatte ich dann
später mal gelesen warum es nicht ging - habe mir aber die Seite nicht
gebookmarkt.
Sollte das jemals jemand lösen: Ich bin der erste der es wissen will :-)
regards,
Michael
6:02 a.m.
Michael Weber wrote:
Hi,
sag mal mich beschleicht der unbestimmte Verdacht, dass Du die Meldung
"connection refused" vermutlich nur aus Deinem eigenen Netz kriegst -
kann das sein?
Du sitzt an einer Workstation (nennen wir sie 192.168.0.7) und versuchst
jetzt einen Dienst über Euren Gateway (192.168.0.1) zu erreichen. Der
Gateway macht die Weiterleitung via portforwarding auf eine Maschine im
gleichen Netz, die nennen wir 192.168.0.3.
Korrekt?
Die lokale Ansprache über 192.168.0.3 direkt funktioniert aber?
Auch korrekt?
Dann kannst Du das vergessen - aus dem lokalen Netz wirst Du immer einen
"connection refused" bekommen. Von draussen funktioniert es trotzdem.
Frag mich bitte nicht detailiert warum - ich habe den gleichen Zauber
mit einem Webserver durch und letztlich nach zig Tagen kapituliert,
squid aufgesetzt und meine Ruhe gehabt :-) Irgendwo hatte ich dann
später mal gelesen warum es nicht ging - habe mir aber die Seite nicht
gebookmarkt.
Sollte das jemals jemand lösen: Ich bin der erste der es wissen will :-)
regards,
Michael
Äh.........
also, wenn das wirklich so ist wie du meinst, dann ist das ziemlich
besch........ also hier die Fakten:
Gateway: 192.168.0.1
Rechner 1 (Test) (brauche da Port 4711): 192.168.0.2
Rechner 2 (Test1) (brauche da Port 8080): 192.168.0.3
ich kann "Test" direkt von "Test1" über
"http://192.168.0.2:4711"
ansprechen...korrekt, versuche ich es aber per
"http://xxx.dyndns.org:4711" also von innen nach außen und wieder nach
innen über den Router, bekomme ich den "Connection refused" bzw nach
einigem basteln im moment einen "Ping Timeout" ist es das was du meinst,
daß es von außen Funktioniert, aber von innen nicht?????
Ich kann mich tatsächlich mal daran erinnern, daß es von einem anderen
Rechner von außen her geklappt hat.... hatte ich aber irgendwie
vergessen/verdrängt.
moment nen "Ping timeout"
6:18 a.m.
Mahlzeit,
Ronny Fauth schrieb:
Gateway: 192.168.0.1
Rechner 1 (Test) (brauche da Port 4711): 192.168.0.2
Rechner 2 (Test1) (brauche da Port 8080): 192.168.0.3
ich kann "Test" direkt von "Test1" über
"http://192.168.0.2:4711"
ansprechen...korrekt, versuche ich es aber per
"http://xxx.dyndns.org:4711" also von innen nach außen und wieder nach
innen über den Router, bekomme ich den "Connection refused" bzw nach
einigem basteln im moment einen "Ping Timeout" ist es das was du meinst,
daß es von außen Funktioniert, aber von innen nicht?????
Jep. Genau so war es bei mir auch - ich bin irre geworden.
Ich kann mich tatsächlich mal daran erinnern, daß es von einem
anderen
Rechner von außen her geklappt hat.... hatte ich aber irgendwie
vergessen/verdrängt. moment nen "Ping timeout"
Na wenn es nix geheimes ist: Gib die IP rüber und ich kann Dir sagen ob
es von außen funktioniert. Mir ist damals auch keine Lösung gekommen -
daher habe ich für den Verkehr von "innen nach innen" einfach squid
genommen - da es bei uns nur der Webserver war und squid ohnehin alles
von "innen nach aussen" filtert kein Aufwand. Aber 4711 sieht exotisch
aus - oder Du versucht gerade ein sicheres WLAN aufzubauen und benutzt
die Anleitung aus der ix :-)
regards,
Michael
6:23 a.m.
Michael Weber wrote:
Na wenn es nix geheimes ist: Gib die IP rüber und ich kann Dir sagen
ob
es von außen funktioniert. Mir ist damals auch keine Lösung gekommen -
daher habe ich für den Verkehr von "innen nach innen" einfach squid
genommen - da es bei uns nur der Webserver war und squid ohnehin alles
von "innen nach aussen" filtert kein Aufwand. Aber 4711 sieht exotisch
aus - oder Du versucht gerade ein sicheres WLAN aufzubauen und benutzt
die Anleitung aus der ix :-)
regards,
Michael
Ich hab es selber grad testen lassen und es ist wirklich so *brech*
nunja, ich hab aber auch einen Hinweis bekommen was es sein kann, der
Router mag kein Loopback und jenes muß wohl aktiviert werden, auch wenn
ich bis jetzt noch keine Ahnung habe wie das geht..... naja, mal
weiterforschen
thnx schon mal für die Hilfe, denn ich bin echt fast verzeweifelt,
sollte es das Loop Back Problem sein und ich find ne Lösung bekommst du
sie als erster mitgeteilt :)
7:15 a.m.
New subject: AW: Portforwarding mit IP-Tables.....
Hi,
ich kann Dir ja mal ein bissl helfen so wie ich es bei uns in der Firma
auf Fedora praktiziere. Hier nun ein paar ausschnitte :
#/bin/sh
########################################################
echo ' Linux Firewall on router preparing'
echo '===================================='
echo '####################################'
echo '# #'
echo '# written by Falk Grosswig #'
echo '# 05.11.2003 #'
echo '# hostmaster(a)detroit.homelinux.net #'
echo '# www.detroit.homelinux.net #'
echo '# #'
echo '####################################'
echo '# #'
echo '# Starting over #'
#--- Forwarding aktivieren ---
echo -n '.'
echo 1 >> /proc/sys/net/ipv4/ip_forward
echo 1 >> /proc/sys/net/ipv4/ip_dynaddr
# Externe IP ermitteln, falls notwendig dann mit $IP arbeiten
# muss arber immer bei Neueinwahl aktualisiert werden
#
#IP=`/sbin/ifconfig ppp0 | grep inet | cut -d : -f 2 | cut -d ' ' -f 1`
#--- Netfilter-Module laden ---
echo -n '.'
modprobe ip_tables
echo -n '.'
modprobe iptable_filter
modprobe iptable_nat
echo -n '.'
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
echo -n '.'
modprobe ip_nat_ftp
modprobe ip_nat_irc
echo -n '.'
modprobe ipt_unclean
modprobe ipt_state
modprobe ipt_tcpmss
echo -n '.'
modprobe ipt_MASQUERADE
modprobe ipt_TCPMSS
modprobe ipt_LOG
#--- alte Regeln löschen ---
#--- alte Regeln löen ---
echo -n '.'
iptables -t filter -F
iptables -t nat -F
#--- Default Policy setzen ---
echo '.'
iptables -t filter -P INPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT
iptables -t filter -P OUTPUT ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
echo '|Masquerading Aktivieren|'
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/16 -j MASQUERADE
#--- MSS der Pakete ins I-Net an die MTU von DSL (=1492) anpassen ---
echo '|MTU von DSL (=1492) anpassen|'
iptables -A FORWARD -o eth0 -p TCP --tcp-flags SYN,RST SYN -j TCPMSS
--clamp-mss-to-pmtu
#---- Massnahmen gegen Angriffsversuche ergreifen
----------------------------->
echo '|Setup Security|'
#-- ungewuenschte/defekte Pakete verwerfen --
# forwarding
iptables -A FORWARD -m unclean -j DROP
# local input
iptables -A INPUT -m unclean -j DROP
#-- Pakete aus I-Net mit privaten (gefaelschten) Absenderadressen
verwerfen --
# prerouting
iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
iptables -t nat -A PREROUTING -i eth0 -s 127.0.0.0/8 -j DROP
# forwarding
iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 127.0.0.0/8 -j DROP
# local input
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 127.0.0.0/8 -j DROP
#-- ungewuenschte/defekte Pakete verwerfen --
# forwarding
iptables -A FORWARD -m unclean -j DROP
# local input
iptables -A INPUT -m unclean -j DROP
#lokale schnittstellen zulassen
iptables -A INPUT -i eth0 -p TCP --dport 80 -j ACCEPT
# -- HTTPS --
iptables -A INPUT -i eth0 -p TCP --dport 443 -j ACCEPT
#-- SSH --
iptables -A INPUT -i eth0 -p TCP --dport 22 -j ACCEPT
# weiterleitungen
echo '|Enabling eMule|'
#-- eMule-Verbindungen nach 192.168.3.101 leiten --
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 5662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 4711 -j DNAT --to
192.168.3.101:4711
iptables -A FORWARD -p tcp --dport 4711 -j ACCEPT
#---- alle uebrigen Verbindungen aus I-Net abweisen
--------------------------->
echo -n '.'
# forwarding
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j LOG
#
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j LOG
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j DROP
# local input
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j LOG
#
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j LOG
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j DROP
#---- Ende Firewall-Skript
---------------------------------------------------->
echo '.'
echo '# Alle Einstellungen wurden #'
echo '# erflogreich geladen #'
echo '####################################'
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] Im Auftrag von Ronny Fauth
Gesendet: Dienstag, 16. März 2004 13:24
An: Fedora discussions in German
Betreff: Re: Portforwarding mit IP-Tables.....
Michael Weber wrote:
Na wenn es nix geheimes ist: Gib die IP rüber und ich kann Dir sagen
ob
es von außen funktioniert. Mir ist damals auch keine Lösung gekommen
-
daher habe ich für den Verkehr von "innen nach innen"
einfach squid
genommen - da es bei uns nur der Webserver war und squid ohnehin alles
von "innen nach aussen" filtert kein Aufwand. Aber 4711
sieht exotisch
aus - oder Du versucht gerade ein sicheres WLAN aufzubauen und
benutzt
die Anleitung aus der ix :-)
regards,
Michael
Ich hab es selber grad testen lassen und es ist wirklich so *brech*
nunja, ich hab aber auch einen Hinweis bekommen was es sein kann, der
Router mag kein Loopback und jenes muß wohl aktiviert werden, auch wenn
ich bis jetzt noch keine Ahnung habe wie das geht..... naja, mal
weiterforschen
thnx schon mal für die Hilfe, denn ich bin echt fast verzeweifelt,
sollte es das Loop Back Problem sein und ich find ne Lösung bekommst du
sie als erster mitgeteilt :)
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
7:21 a.m.
New subject: AW: Portforwarding mit IP-Tables.....
Ich hab vergessen zu erwähnen :
Die schnittstelle ppp0 haben wir natürlich nicht auf arbeit, aber zu
hause habe ich diese, deshalb ,die weiterleitung von ppp0 ins 3-er
segement anstatt von eth0 ... demzufolge müsste man nur ppp0 mit eth0
(wenn eth0 die schnittstelle zu einem router ist) nehmen.
Ich hoffe das gibt dir genug lesestoff.
Mit modprobe ipt_LOG kannst du das logging aktivieren, welches dann als
syslog in /var/log/messages zu sehen ist.
Greetings,
Falk
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] Im Auftrag von Falk Grosswig
Gesendet: Dienstag, 16. März 2004 14:16
An: 'Fedora discussions in German'
Betreff: AW: Portforwarding mit IP-Tables.....
Hi,
ich kann Dir ja mal ein bissl helfen so wie ich es bei uns in der Firma
auf Fedora praktiziere. Hier nun ein paar ausschnitte :
#/bin/sh
########################################################
echo ' Linux Firewall on router preparing'
echo '===================================='
echo '####################################'
echo '# #'
echo '# written by Falk Grosswig #'
echo '# 05.11.2003 #'
echo '# hostmaster(a)detroit.homelinux.net #'
echo '# www.detroit.homelinux.net #'
echo '# #'
echo '####################################'
echo '# #'
echo '# Starting over #'
#--- Forwarding aktivieren ---
echo -n '.'
echo 1 >> /proc/sys/net/ipv4/ip_forward
echo 1 >> /proc/sys/net/ipv4/ip_dynaddr
# Externe IP ermitteln, falls notwendig dann mit $IP arbeiten
# muss arber immer bei Neueinwahl aktualisiert werden
#
#IP=`/sbin/ifconfig ppp0 | grep inet | cut -d : -f 2 | cut -d ' ' -f 1`
#--- Netfilter-Module laden ---
echo -n '.'
modprobe ip_tables
echo -n '.'
modprobe iptable_filter
modprobe iptable_nat
echo -n '.'
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
echo -n '.'
modprobe ip_nat_ftp
modprobe ip_nat_irc
echo -n '.'
modprobe ipt_unclean
modprobe ipt_state
modprobe ipt_tcpmss
echo -n '.'
modprobe ipt_MASQUERADE
modprobe ipt_TCPMSS
modprobe ipt_LOG
#--- alte Regeln löschen ---
#--- alte Regeln löen ---
echo -n '.'
iptables -t filter -F
iptables -t nat -F
#--- Default Policy setzen ---
echo '.'
iptables -t filter -P INPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT
iptables -t filter -P OUTPUT ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
echo '|Masquerading Aktivieren|'
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/16 -j MASQUERADE
#--- MSS der Pakete ins I-Net an die MTU von DSL (=1492) anpassen ---
echo '|MTU von DSL (=1492) anpassen|'
iptables -A FORWARD -o eth0 -p TCP --tcp-flags SYN,RST SYN -j TCPMSS
--clamp-mss-to-pmtu
#---- Massnahmen gegen Angriffsversuche ergreifen
----------------------------->
echo '|Setup Security|'
#-- ungewuenschte/defekte Pakete verwerfen --
# forwarding
iptables -A FORWARD -m unclean -j DROP
# local input
iptables -A INPUT -m unclean -j DROP
#-- Pakete aus I-Net mit privaten (gefaelschten) Absenderadressen
verwerfen --
# prerouting
iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
iptables -t nat -A PREROUTING -i eth0 -s 127.0.0.0/8 -j DROP
# forwarding
iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 127.0.0.0/8 -j DROP
# local input
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 127.0.0.0/8 -j DROP
#-- ungewuenschte/defekte Pakete verwerfen --
# forwarding
iptables -A FORWARD -m unclean -j DROP
# local input
iptables -A INPUT -m unclean -j DROP
#lokale schnittstellen zulassen
iptables -A INPUT -i eth0 -p TCP --dport 80 -j ACCEPT
# -- HTTPS --
iptables -A INPUT -i eth0 -p TCP --dport 443 -j ACCEPT
#-- SSH --
iptables -A INPUT -i eth0 -p TCP --dport 22 -j ACCEPT
# weiterleitungen
echo '|Enabling eMule|'
#-- eMule-Verbindungen nach 192.168.3.101 leiten --
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 5662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 4711 -j DNAT --to
192.168.3.101:4711
iptables -A FORWARD -p tcp --dport 4711 -j ACCEPT
#---- alle uebrigen Verbindungen aus I-Net abweisen
--------------------------->
echo -n '.'
# forwarding
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j LOG
#
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j LOG
iptables -A FORWARD -i eth0 -m state --state NEW,INVALID -j DROP
# local input
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j LOG
#
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j LOG
iptables -A INPUT -i eth0 -m state --state NEW,INVALID -j DROP
#---- Ende Firewall-Skript
---------------------------------------------------->
echo '.'
echo '# Alle Einstellungen wurden #'
echo '# erflogreich geladen #'
echo '####################################'
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] Im Auftrag von Ronny Fauth
Gesendet: Dienstag, 16. März 2004 13:24
An: Fedora discussions in German
Betreff: Re: Portforwarding mit IP-Tables.....
Michael Weber wrote:
Na wenn es nix geheimes ist: Gib die IP rüber und ich kann Dir sagen
ob
es von außen funktioniert. Mir ist damals auch keine Lösung gekommen
-
daher habe ich für den Verkehr von "innen nach innen"
einfach squid
genommen - da es bei uns nur der Webserver war und squid ohnehin alles
von "innen nach aussen" filtert kein Aufwand. Aber 4711
sieht exotisch
aus - oder Du versucht gerade ein sicheres WLAN aufzubauen und
benutzt
die Anleitung aus der ix :-)
regards,
Michael
Ich hab es selber grad testen lassen und es ist wirklich so *brech*
nunja, ich hab aber auch einen Hinweis bekommen was es sein kann, der
Router mag kein Loopback und jenes muß wohl aktiviert werden, auch wenn
ich bis jetzt noch keine Ahnung habe wie das geht..... naja, mal
weiterforschen
thnx schon mal für die Hilfe, denn ich bin echt fast verzeweifelt,
sollte es das Loop Back Problem sein und ich find ne Lösung bekommst du
sie als erster mitgeteilt :)
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
7:25 a.m.
New subject: AW: Portforwarding mit IP-Tables.....
Danke Dir falk, das gibt mir erst mal Lesestoff... ich sehe, du hast
eMule Webclient auch geforwarded, klappt bei dir das Loopback? also vom
internen netz nach außen und von da aus loop back?
7:31 a.m.
New subject: AW: AW: Portforwarding mit IP-Tables.....
Jepp das funktioniert. Also ich denke wir meinen das selbe, vor 1 Jahr
wusste ich da auch nicht so richtig weiter, da half mir nur ein named
Server aufzusetzen, der meine domain für Intranet frei gibt. Aber mit
dem script funktioniert die domain Auflösung auch innerhalb des netzes
ohne das ich die domain extra in dem named Server eintragen muss.
Folglich heisst das, ich gehe über den router ins netz, der router
sendet eine anfrage an seinen eigenen dns Server => bekommt keine
antwort und fragt seinen nächsten dns Server außerhalb, bekommt dort die
externe ip und geht zurück zu dem router ... sehr umständlich
eigentlich, aber so weiß ich immer das mein router den aktuellen dns
Namen hat :)
Cheers,
Falk
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] Im Auftrag von Ronny Fauth
Gesendet: Dienstag, 16. März 2004 14:26
An: Fedora discussions in German
Betreff: Re: AW: Portforwarding mit IP-Tables.....
Danke Dir falk, das gibt mir erst mal Lesestoff... ich sehe, du hast
eMule Webclient auch geforwarded, klappt bei dir das Loopback? also vom
internen netz nach außen und von da aus loop back?
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
7:39 a.m.
New subject: AW: AW: Portforwarding mit IP-Tables.....
Falk Grosswig wrote:
Jepp das funktioniert. Also ich denke wir meinen das selbe, vor 1
Jahr
wusste ich da auch nicht so richtig weiter, da half mir nur ein named
Server aufzusetzen, der meine domain für Intranet frei gibt. Aber mit
dem script funktioniert die domain Auflösung auch innerhalb des netzes
ohne das ich die domain extra in dem named Server eintragen muss.
Folglich heisst das, ich gehe über den router ins netz, der router
sendet eine anfrage an seinen eigenen dns Server => bekommt keine
antwort und fragt seinen nächsten dns Server außerhalb, bekommt dort die
externe ip und geht zurück zu dem router ... sehr umständlich
eigentlich, aber so weiß ich immer das mein router den aktuellen dns
Namen hat :)
Cheers,
Falk
Hmm, kannst du mir auch noch die genauen Zeilen deines Skriptes nennen
die das machen? ich hab mich an mein Skript geöhnt und würd lieber
einfach nur die Zeilen einbauen als meinen ganzen Kram in dein Skript zu
schreiben.
7:41 a.m.
New subject: AW: AW: AW: Portforwarding mit IP-Tables.....
Hi,
schick mir einfach mal dein Script per mail
falk.grosswig(a)abu-projekt.de
dann schau ich mal drüber und pass es mal dem so an wie ich es für
richtig halten würde. Ok ?
Greets,
Falk
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] Im Auftrag von Ronny Fauth
Gesendet: Dienstag, 16. März 2004 14:40
An: Fedora discussions in German
Betreff: Re: AW: AW: Portforwarding mit IP-Tables.....
Falk Grosswig wrote:
Jepp das funktioniert. Also ich denke wir meinen das selbe, vor 1
Jahr
wusste ich da auch nicht so richtig weiter, da half mir nur ein
named
Server aufzusetzen, der meine domain für Intranet frei gibt. Aber mit
dem script funktioniert die domain Auflösung auch innerhalb des netzes
ohne das ich die domain extra in dem named Server eintragen muss.
Folglich heisst das, ich gehe über den router ins netz, der router
sendet eine anfrage an seinen eigenen dns Server => bekommt keine
antwort und fragt seinen nächsten dns Server außerhalb, bekommt dort
die
externe ip und geht zurück zu dem router ... sehr umständlich
eigentlich, aber so weiß ich immer das mein router den aktuellen dns
Namen hat :)
Cheers,
Falk
Hmm, kannst du mir auch noch die genauen Zeilen deines Skriptes nennen
die das machen? ich hab mich an mein Skript geöhnt und würd lieber
einfach nur die Zeilen einbauen als meinen ganzen Kram in dein Skript zu
schreiben.
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
7:56 a.m.
Konfiguriere dein Outlook doch bitte mal so, dass es den üblichen reply
prefix "Re: " verwendet und nicht das grausame "AW: ". Inzwischen
sieht
die Betreffzeile ja schon sehr "bescheiden" aus.
Danke
Alexander
--
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 1 (Yarrow) on Athlon CPU kernel 2.4.22-1.2174.nptl
Sirendipity 14:53:34 up 7 days, 15:12, load average: 0.24, 0.22, 0.19
[ Γνωθι σ'αυτον - gnothi seauton ]
my life is a planetarium - and you are the stars
8:12 a.m.
Okay. Sieht wirklich dumm aus :)
-----Original Message-----
From: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] On Behalf Of Alexander Dalloz
Sent: Tuesday, March 16, 2004 2:57 PM
To: Fedora discussions in German
Subject: Re: Portforwarding mit IP-Tables.....
Konfiguriere dein Outlook doch bitte mal so, dass es den üblichen reply
prefix "Re: " verwendet und nicht das grausame "AW: ". Inzwischen
sieht
die Betreffzeile ja schon sehr "bescheiden" aus.
Danke
Alexander
--
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 1 (Yarrow) on Athlon CPU kernel 2.4.22-1.2174.nptl
Sirendipity 14:53:34 up 7 days, 15:12, load average: 0.24, 0.22, 0.19
[ Γνωθι σ'αυτον - gnothi seauton ]
my life is a planetarium - and you are the stars
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
8:58 a.m.
Ich trimme die beim nächsten Mal, okay? mache jetzt Feierabend *g*
bye
-----Original Message-----
From: fedora-de-list-bounces(a)redhat.com
[mailto:fedora-de-list-bounces@redhat.com] On Behalf Of Ralph Angenendt
Sent: Tuesday, March 16, 2004 3:44 PM
To: 'Fedora discussions in German'
Subject: Re: Portforwarding mit IP-Tables.....
Falk Grosswig wrote:
Okay. Sieht wirklich dumm aus :)
Grmbl. Und ein bisschen Mails trimmen könntest du auch. Und es heißt
"Re: ", nicht "RE: "
Ralph
7:42 a.m.
Am Di, den 16.03.2004 schrieb Falk Grosswig um 14:15:
Hi,
ich kann Dir ja mal ein bissl helfen so wie ich es bei uns in der Firma
auf Fedora praktiziere. Hier nun ein paar ausschnitte :
echo 1 >> /proc/sys/net/ipv4/ip_forward
echo 1 >> /proc/sys/net/ipv4/ip_dynaddr
> statt >
nicht gut
# weiterleitungen
echo '|Enabling eMule|'
#-- eMule-Verbindungen nach 192.168.3.101 leiten --
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 5662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 4711 -j DNAT --to
192.168.3.101:4711
iptables -A FORWARD -p tcp --dport 4711 -j ACCEPT
Was bitte hast du jetzt anders per iptables konfiguriert als Ronny?
Anstatt ein komplettes Script zu posten, wäre es wohl hilfreicher für
Ronny, wenn du Erklärungen liefern würdest.
Völlig unberührt lässt du die eigentliche Frage, ob nämlich connects von
einem Host innerhalb des privaten Netzes auf einen anderen LAN Host
unter Verwendung der DynIP funktioniert. Ich würde mal frech
unterstellen, dass genau das mit deinem Script auch nicht funktioniert.
Gruß
Alexander
--
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 1 (Yarrow) on Athlon CPU kernel 2.4.22-1.2174.nptl
Sirendipity 14:36:16 up 7 days, 14:55, load average: 0.02, 0.21, 0.18
[ Γνωθι σ'αυτον - gnothi seauton ]
my life is a planetarium - and you are the stars
7:48 a.m.
New subject: AW: Portforwarding mit IP-Tables.....
Hallo Alexander,
ich bin sicherlich nicht das was mancher unter iptables guru versteht. Im Gegenteil, ich
gebe zu das ich reiner Anwender bin und sicherlich, wenn ich eine genaue Erläuterung geben
würde, würden so manch einer vielleicht an den Kopf greifen. Also lasse ich das lieber,
als mich hier in eine Diskussion einzulassen, wo ich weiss das ich nicht allem gewachsen
bin. Bin ich auch ganz ehrlich hab ich ja auch keinen Grund dazu.
Das Script von Ronny kenne ich nicht, daher kann ich auch keinen verlgeich dazu machen,
was nun sein iptables script mit meinem unterscheidet.
> statt >
recht hast du, da sonst die 1 immer dem teil angefügt wird. Aber passiert komischerweise
nicht.
echo 1 >> /proc/sys/net/ipv4/ip_dynaddr
benutze ich nicht im Firmenlan, da dies wohl eher wenig sinn macht.
Gruß Falk
-----Ursprüngliche Nachricht-----
Von: fedora-de-list-bounces(a)redhat.com [mailto:fedora-de-list-bounces@redhat.com] Im
Auftrag von Alexander Dalloz
Gesendet: Dienstag, 16. März 2004 14:43
An: Fedora discussions in German
Betreff: Re: Portforwarding mit IP-Tables.....
Am Di, den 16.03.2004 schrieb Falk Grosswig um 14:15:
Hi,
ich kann Dir ja mal ein bissl helfen so wie ich es bei uns in der Firma
auf Fedora praktiziere. Hier nun ein paar ausschnitte :
> echo 1 >> /proc/sys/net/ipv4/ip_forward
echo 1 >> /proc/sys/net/ipv4/ip_dynaddr
> statt >
nicht gut
# weiterleitungen
echo '|Enabling eMule|'
#-- eMule-Verbindungen nach 192.168.3.101 leiten --
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 5662 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p TCP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p UDP --dport 4711 -j DNAT
--to-destination 192.168.3.101
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 4711 -j DNAT --to
192.168.3.101:4711
iptables -A FORWARD -p tcp --dport 4711 -j ACCEPT
Was bitte hast du jetzt anders per iptables konfiguriert als Ronny?
Anstatt ein komplettes Script zu posten, wäre es wohl hilfreicher für
Ronny, wenn du Erklärungen liefern würdest.
Völlig unberührt lässt du die eigentliche Frage, ob nämlich connects von
einem Host innerhalb des privaten Netzes auf einen anderen LAN Host
unter Verwendung der DynIP funktioniert. Ich würde mal frech
unterstellen, dass genau das mit deinem Script auch nicht funktioniert.
Gruß
Alexander
--
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 1 (Yarrow) on Athlon CPU kernel 2.4.22-1.2174.nptl
Sirendipity 14:36:16 up 7 days, 14:55, load average: 0.02, 0.21, 0.18
[ Γνωθι σ'αυτον - gnothi seauton ]
my life is a planetarium - and you are the stars
--
Fedora-de-list mailing list
Fedora-de-list(a)redhat.com
http://www.redhat.com/mailman/listinfo/fedora-de-list
7344
days inactive
7345
days old
de-users@lists.fedoraproject.org
25 comments
8 participants
participants (8)
-
Alexander Dalloz -
Falk Grosswig -
Michael Schwendt -
Michael Weber -
Ralph angenendt -
Ronny Fauth -
Ronny Fauth
-
Veit Schopper