Redirecionamento Portas

flaviomaia
(usa Outra)

Enviado em 26/01/2010 - 20:43h

Boa tarde!
Montei um servidor para Firewall com o CentOs 5 e não consigo redirecionar portas para acessar de fora da empresa para rede interna.
No servidor Linux tenho:

ETH0 - 192.168.1.1 -> modem estã nesta eth
EHT1 - 192.168.2.1 -> rede interna

O iptables contém regras básicas:

Inicio Iptables -------------------------------------------------------------------------

# Generated by iptables-save v1.3.5 on Tue Jan 19 10:40:20 2010
*filter
:INPUT ACCEPT [1513:127647]
:FORWARD ACCEPT [7175:1250510]
:OUTPUT ACCEPT [1324:110761]
-A INPUT -p tcp -m tcp --dport 20 -j ACCEPT
-A INPUT -p udp -m udp --dport 20 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p udp -m udp --dport 21 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT
-A INPUT -s 192.168.2.0/192.168.2.250 -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
#-A INPUT -p tcp --syn -j DROP
COMMIT
# Completed on Tue Jan 19 10:40:20 2010
# Generated by iptables-save v1.3.5 on Tue Jan 19 10:40:20 2010
*nat
:PREROUTING ACCEPT [1920:259523]
:POSTROUTING ACCEPT [27:2232]
:OUTPUT ACCEPT [154:11039]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT

Fim Iptables-------------------------------------------------------------------------

Route:

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.2.0 * 255.255.255.0 U 0 0 0 eth1
192.168.1.0 * 255.255.255.0 U 0 0 0 eth0
169.254.0.0 * 255.255.0.0 U 0 0 0 eth1
default 192.168.1.254 0.0.0.0 UG 0 0 0 eth0


Da forma que está, todos os micros se conectam na WEB, recebem e-mail, MSN etc..

Para redirecionar portas, digitei no Shell a seguinte instrução:

# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 3389 -jDDNAT --to-destination 192.168.2.200:3389

Porém não surtiu efeito.
Grato.
Maia.

elgio
(usa OpenSuSE)

Enviado em 26/01/2010 - 21:10h

O comando que colocaste é suficiente!

Aqui no post teve um erro de sintaxe. Será que não seria isto?

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 3389 -j DNAT --to 192.168.2.200:3389

Só funciona se 192.168.2.200 estiver na eth1 e o acesso vier pela eth0 destinado ao IP desta interface

korvoman
(usa Debian)

Enviado em 26/01/2010 - 21:19h

como sugestão, é bom avaliar as regras da cadeia INPUT, caso voce esteja mantendo serviços de ftp, dns, web,smtp para acesso externo se justifica estas regras. caso contrario é bom retirar-las.
Se estiver mantendo um serviço local destas voce pode liberar a regra INPUT para a rede interna:

iptables -P INPUT DROP
iptables -A INPUT -i eth1 -j ACCEPT

ou liberar serviços especificos como cache de dns

iptables -A INPUT -i eth1 --dport 53 -p udp -j ACCEPT


Na situação de manter o compartilhamento de internet, não se justifica as regras do INPUT.

Para clarear o funcionamento com iptables procure o capitulo firewall iptables no foca linux no módulo avançado