Publicação de Serviços com DNAT não funciona mais. [RESOLVIDO]

1. Publicação de Serviços com DNAT não funciona mais. [RESOLVIDO]

rschiezaro
(usa Fedora)

Enviado em 29/12/2010 - 22:26h

Boa Noite Amigos,
Estou usando um Debian 5.07, Kernel 2.6.36.2, iptables v1.4.2.
Ao utilizar como politica de NAT.

#iptables -t nat -P PREROUTING DROP
#iptables -t nat -P OUTPUT DROP
#iptables -t nat -P POSTROUTING DROP
Recebo a seguinte mensagem:
The "nat" table is not intended for filtering, hence the use of DROP is deprecated and will permanently be disabled in the next iptables release. Please adjust your scripts.

Porem isto esta gerando uma grande dor de cabeça, pois o seguinte comando que utilizo para publicacao de servicos nao funciona mais:
#iptables -t nat -A PREROUTING -s 0/0 -d $IP_WAN -p tcp --dport 80 -j DNAT --to-destination $IP_WWW:80

Alguem poderia me ajudar a fazer o direcionamento de pacotes, baseado em portas de destino, para os servidores publicados.

Nas versões de iptables 1.3 tudo funcionava normalmente.

Vlw...Abraços...

0 0

Quote

2. MELHOR RESPOSTA

lejoso
(usa Debian)

Enviado em 30/12/2010 - 08:52h

Em relação ao erro, o próprio iptables já te fala que não é permitido usar o alvo DROP na tabela nat.
Em relação a regra de DNAT está correta, porém alguns outros fatores devem ser analisados.

1- Tem que fazer a liberação na tabele filter também

iptables -t filter -A FORWARD -s 0/0 -d $IP_WWW -p tcp --dport 80 -j ACCEPT

2- Seu firewall está configurado como statefull

iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED,INVALID -j ACCEPT
iptables -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED,INVALID -j ACCEPT
iptables -A FORWARD -m state --state NEW,ESTABLISHED,RELATED,INVALID -j ACCEPT

Caso não, tem que fazer a regra inversa da liberação do FORWARD

iptables -t filter -A FORWARD -s $IP_WWW -p tcp --sport 80 -j ACCEPT

3- O gateway do servidor web tem que estar apontado para esse firewall.

0 0

Quote

3. NAT

rschiezaro
(usa Fedora)

Enviado em 30/12/2010 - 10:14h

Amigo, muito obrigado pela ajuda... mas desta vez foi uma mancada minha, estou migrando o servidor e não aguentava mais olhar para os scripts. Simplesmente não havia me atentado ao fato de uma variável não estar com valor setado.
Obrigado assim mesmo..

0 0

Quote