Trädvy Permalänk
Medlem
Plats
På en pizza
Registrerad
Okt 2004

Hjälp mig med iptabels

Hejsan jag har fått en gamal ibmare av en granne. Som jag tänker ha som router jag har ett intel kort och ett 3com i den. Nu är det så att jag har hittat ett basic iptabels skript som jag förstår ganska bra men jag vill kolla om det är säkert och sen så undrar jag hur man öppnar portar till själva servern som är router och om någon berättar lite om hur iptabels funkar så skulle jag vara väldigt tacksam.

Här är skriptet

#!/bin/sh

# Diable forwarding
echo 0 > /proc/sys/net/ipv4/ip_forward

LAN_IP_NET='192.168.0.1/24'
LAN_NIC='eth1'
WAN_IP='83.249.62.27'
WAN_NIC='eth0'
FORWARD_IP='192.168.0.10'

# load some modules (if needed)
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

# Flush
iptables -t nat -F POSTROUTING
iptables -t nat -F PREROUTING
iptables -t nat -F OUTPUT
iptables -F

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# enable Masquerade and forwarding
iptables -t nat -A POSTROUTING -s $LAN_IP_NET -j MASQUERADE
iptables -A FORWARD -j ACCEPT -i $LAN_NIC -s $LAN_IP_NET
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# STATE RELATED for router
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Open ports to server on LAN
iptables -A FORWARD -j ACCEPT -p tcp --dport 80
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.10:80
iptables -A FORWARD -j ACCEPT -p tcp --dport 21
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 21 -j DNAT --to 192.168.0.10:21
iptables -A FORWARD -j ACCEPT -p tcp --dport 22
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 22 -j DNAT --to 192.168.0.10:22
iptables -A FORWARD -j ACCEPT -p tcp --dport 25
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 25 -j DNAT --to 192.168.0.10:25
iptables -A FORWARD -j ACCEPT -p tcp --dport 110
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 110 -j DNAT --to 192.168.0.10:110

# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

MVH//Crash_M

8D

Trädvy Permalänk
Medlem
Registrerad
Jul 2001

Du har saker öppet in, alltså är det inte säkert...

Du släpper ut saker hejvilt oxo...

Allt är en filosofi om hur man bygger sin brandvägg...

Det är väl bara NAT'a in från utsidan till inside interfacet på brandväggen? från insidan ska det inte var några problem o ansluta...

Men jag måste säga att Iptables är oläsligt jämfört med pf eller ipf

We live in the age o stupidity || SparcStation 20,384mb RAM,1gb disk,2*125mhz, Solaris8
--------------------------------------------------------------------------------------------
Every suicide is a solution to a problem. -- Jean Baechler

Trädvy Permalänk
Medlem
Plats
Svedala
Registrerad
Apr 2002

Nja, man kan ju inte säga att det är osäkert bara för att man har öppet för vissa inkommande portar, har man tjänster som snurrar där som är korrekt uppsatta så vill man ju ha de portarna öppna.

För att sätta dig in i hur iptables funkar, så läs dokumentationen på www.netfilter.org. Det finns ganska bra HOWTO's och liknande där.

iptables vs. pf-diskussionen kan vi väl betacka oss från?

Trädvy Permalänk
Medlem
Plats
På en pizza
Registrerad
Okt 2004

Ok men nu till ett problem som jag har. Jag har två nätverks kort och den ena funkar fint men jag vet inte hur jag får det andra att funka så det nätverks kortet har en ip. Det som går ut mot internet kör med dhcp. Men hur får jag det andra å funka och ger den en ip adress.

8D

Trädvy Permalänk
Medlem
Plats
/bin/bash
Registrerad
Mar 2002

Ladda modulen, assigna en IP i praktiken genom <i>ifconfig eth1 ip netmask</i> och allt sånt tjaffs. Inte svårare än så. Samma sak där, om du skulle ha 2 kort som ska ha ta IP via dhcp är det bara att skriva <i>dhcpcd eth1</i> om dhcpcd(1) är programet du använder dvs.

Cisco - Linux - VMWare
-- Citera mig om ni vill få återkoppling --

Trädvy Permalänk
Medlem
Plats
På en pizza
Registrerad
Okt 2004

Jag fick i gång det men jag har ett annat problem. När jag hade fått igång allt så ville jag testa själva routningen så jag fixa det med iptables och stälde in min klient med dom rätta värdena. När allt var klart så kunde jag bara pinga min server och logga in via ssh men inget annat jag kunde inte surfa in på min webbserver som jag har på den eller något annat. Jag kan bara pinga och logga in på ssh via min server :S.

8D

Trädvy Permalänk
Medlem
Registrerad
Jul 2001

Ja då har du inte konfigat webservern rätt antar jag? Har du webservern på brandväggen? Lyssnar webservern på rätt IP osv..

Det är väl en arbetsskada att anse att öppna portar by default är 'farligt'. Min brandvägg hemma har default block åt bägge håll...

We live in the age o stupidity || SparcStation 20,384mb RAM,1gb disk,2*125mhz, Solaris8
--------------------------------------------------------------------------------------------
Every suicide is a solution to a problem. -- Jean Baechler

Trädvy Permalänk
Medlem
Plats
Svedala
Registrerad
Apr 2002

crash_M: Kör 'iptables -L -n -v' samt 'iptables -t nat -L -n -v' och posta outputen här...

Trädvy Permalänk
Medlem
Plats
På en pizza
Registrerad
Okt 2004

Jag tog och installerade Monowall och nu så får jag mycket bättre bandbredd än innan. Fick innan 6mb och nu så har jag 8.9 :D.Men hur öppnar man portar i monowall? och tack för all hjälp jag har fått hitils.

8D

Trädvy Permalänk
Medlem
Registrerad
Jul 2001

Det står väl i dokumentationen till monowall kanske...

We live in the age o stupidity || SparcStation 20,384mb RAM,1gb disk,2*125mhz, Solaris8
--------------------------------------------------------------------------------------------
Every suicide is a solution to a problem. -- Jean Baechler