liberar unico site:porta externo para todos da rede local
1. liberar unico site:porta externo para todos da rede local
dufixtech
(usa Debian)
Enviado em 26/09/2010 - 13:44h
Olá Galera! Estou com um duvida e gostaria da ajuda de vocês. Tenho um servidor com proxy transparente por autenticação instalado (roteador-eth1:servidor:eth0-rede interna). Nessa autenticação temos 3 níveis de usuários:1-acesso irrestrito
2-bloqueado para alguns sites
3-liberado para alguns sites
Até aqui funciona tudo perfeitamente. Meu problema está nas regras do firewall:
preciso que todos os usuários da rede interna, pois uma aplicação exclusiva que acessa através do http (porta 80) acessem dois ips e portas expecíficos (ex: fixtech.homelinux.com:8000 e fixtech.homelinux.com:8001)localizados na internet (fora da rede local)
o que devo usar no meu firewall? FORWARD, PREROUTING ou POSTROUTING? poderiam me dar um exemplo? É possivel liberar um endereço ip fora da rede e acessar via http diretamente a porta desse endereço? (ex.: fixtech.homelinux.com:8000 como está na configuracao abaixo em #1#?)
segue minhas regras de firewall
#!/bin/bash
#Ativa modulos
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_contrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_MASQUERADE
# Abre para faixa de endereços da rede local
iptables -A INPUT -s 192.168.1.0/255.255.255.0 -j ACCEPT
# Libera site especifico por fora do proxy
#####ESTA LINHA Q NAO SEI COMO IMPLEMENTAR########
#1#
#iptables -t nat -A PREROUTING -i eth0 -p tcp -s 192.168.1.0/24 -d fixtech.homelinux.com --dport 80 -j DNAT --to fixtech.homelinux.com:8000
#2#
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 -d fixtech.homelinux.com -j RETURN
# Redireciona a porta 80 para o squid com iptables
iptables -t nat -A PRETOUTING -s 192.168.1.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128
# Libera portas
iptables -A INPUT -p tcp --dport 22-j ACCEPT
#iptables -A INPUT -p tcp --dport 8000 -j ACCEPT
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# Rejeitar o resto e criar log
iptables -A INPUT -j LOG
iptables -A INPUT -j DROP
# Ignora pings:
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
#Proteje contra IP spoofing:
echo 1 > /prc/sys/net/ipv4/conf/default/rp_filter
#Descarta pacotes malformados, protegendo contra ataques diversos
iptables -A INPUT -m state --state INVALID -j DROP
#Abre para interface loopback
iptables -A INPUT -i lo -j ACCEPT
#impede a abertura de novas conexoes, efetivamente blqueando o acesso
#externo ao servidor, com excecao das portas e faixas de enderecos
#especificadas anteriormente
iptables -A INPUT -p tcp --syn -j DROP
Agradeço desde já!