Relação de confiança entres redes de mesma classe de IP, mas com Mascaras diferentes [RESOLVIDO]

thiagoradical
(usa Debian)

Enviado em 15/01/2013 - 12:13h

Olá companheiros do VOL, me surgiu algo inesperado... possuo um rede de classe C,constando o endereço 192.168.0.0/24, porem em alguns departamentos da loja apos implementações no firewall, nao consigo conectar em servidores onde constam mascaras de subrede diferencidas. Ex: tenho um servidor com ip 192.168.0.170/224; sem o squid3 e iptables rodando eu consigo acessar ele de uma rede 192.168.0.0/240 ou 192.168.0.0/192... etc, mas com o squid3 e iptables rodando nao consigo, a maneira de conectar é deixar todos na mesma subrede ou seja 192.168.0.0/255.255.255.0 e o squid e iptables rodando.

Minhas regras do firewall ate o momento:


#!/bin/bash
#
echo "limpando regras anteriores:"
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -t filter -F
iptables -X
iptables -Z

## Definindo politica padrão (Nega entrada e permite saída)
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

## Estabelece relação de confiança entre maquinas da rede local
iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth1 -m state –state NEW -j ACCEPT
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

echo "Ativando compartilhamento"

#Ativando Roteamento de pacote
echo 1 > /proc/sys/net/ipv4/ip_forward

#NAT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

echo "Compartinhamento ativado"

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

# Abrindo INPUT externo RDP
iptables -A INPUT -i eth0 -p tcp --dport 3389 -j ACCEPT

###Dica pela cristyangiovane e Saitam
iptables -A FORWARD -s eth0 -i eth1 -j ACCEPT
iptables -A FORWARD -s eth1 -i eth0 -j ACCEPT
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to 192.168.0.90
iptables -t nat -A PREROUTING -p tcp --dport 22 -j DNAT --to 192.168.0.11

renato_pacheco
(usa Debian)

Enviado em 15/01/2013 - 13:11h

Vc tem q criar acls na config do squid permitindo essas redes.

thiagoradical
(usa Debian)

Enviado em 15/01/2013 - 19:03h

Renato ja ouviu falar em mascara coringa nas ACLs, entao pensei em colocar a mascara coringa correspondente a classe de ip que uso, na qual seria a mascara coringa
0.0.0.255, onde se ignora apenas o ultimo bit da mascara... Otra acls no momento desconheço fazer, grato pela ajuda...

thiagoradical
(usa Debian)

Enviado em 24/01/2014 - 10:00h

Foi implementado na acl, a regra que define tanta a minha rede principal quanto a rede secundaria, e na configuraçao do iptables coloquei as seguintes regras:

iptables -A INPUT -i eth1 -s 10.1.1.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.0/24 -j ACCEPT
iptables -A INPUT -i eth1 -m state –state NEW -j ACCEPT
iptables -A INPUT -i eth0 -m state -state NEW -j ACCEPT
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT