Regras UDP

madrux
(usa Ubuntu)

Enviado em 06/04/2010 - 18:16h

Boa Tarde Pessoal,

no ambiente do meu cliente há um servidor gateway que tem implementado o IPtables e o Squid onde todos os clientes e servidores da rede local (lan) possuem acesso à internet. Necessito criar uma regra que redirecione os pacotes do protocolo UDP porta 5666 à um servidor interno (lan). Abaixo estão listadas as informações dos servidores e a regra que utilizei no iptables:

Dados Servidor Firewall:
eth0 --> Interface Wan IP 200.200.200.200
eth1 --> Interface Lan IP 172.16.1.1

Dados Servidor UDP:
eth0 --> Interface Wan IP 172.16.1.206
o serviço UDP esta configurado na porta 5666

Dados servidor externo (utilizado para poder realizar o teste da conexão)
eth0 --> Interface Wan IP 200.200.200.100

no arquivo de inicilização do firewall inseri as seguintes regras:

#FORWARD Chain
$IPT -A FORWARD -p udp --dport 5666 -j ACCEPT

#PREROUTING chain
iptables -t nat -A PREROUTING -i eth0 -p udp -m udp --dport 5666 -j DNAT --to-destination 172.16.1.206:5666


Após inserir a regra listada acima utilizei o utilitário tcpdump na interface etho (wan) e eth1 (lan) no servidor de firewall e o comando nc para poder testar a regra do firewall:

### Servidor externo (utilizado para poder realizar o teste da conexão)
ServerName:~$ nc -zuv 200.200.200.200 5666
c906e9a1.virtua.com.br [200.200.200.200] 5666 (?) open

### Resultado do TCPDUMP etho (Wan)
N° Source Destination Protocol Info

XXXX 200.200.200.100 200.200.200.200 UDP Source port: yyyy Destination port: 5666

### Resultado do TCPDUMP eth1 (Lan)
No servidor UDP (172.16.1.206) não chegou nenhum pacote, sendo que o mesmo esta com a porta ativa conforme mostra o comando netstat:

### Resultado do comando netstat no servidor UDP para poder verificar se a porta esta ativa:
#netstat -tupna | grep 5666
udp 0 0 172.16.1.206:5666 0.0.0.0:* 18138/aplicacaoudp


Gostaria que vocês pudessem me auxiliar porque o pacote não esta sendo redirecionado ao servidor, sendo que o firewall recebe o comando.

Muito obrigado pela ajuda

Eduardo

irado
(usa XUbuntu)

Enviado em 11/04/2010 - 19:47h

bem, acho que o que vc quer está aqui: http://www.vivaolinux.com.br/artigo/Port-Forward-mais-completo-cacando-o-fantasma-da-rede-interna/

esqueça completamente o squid e concentre-se apenas no conceito de redirecionamento, snat/dnat, etc.