2010/1/5 Giuliani Deon Sanches <[email protected]>: > 2010/1/5 Marcelo <[email protected]>: >> >> Olá, >> >> Vamos por partes... >> Para efeitos de teste, coloque na ultima linha do arquivo de firewall: >> >> $ipt -t nat -I PREROUTING -p tcp -s $rede-interna -d 189... --dport 3389 >> -j DNAT --to 192.168.0.x >> >> $ipt -I FORWARD -s 192.168.0.x -d 0/0 -j ACCEPT >> >> >> Abraços, >> Marcelo >> >> Khaoz wrote: >>> Essas regras permitem que alguém de fora ao bater em determinadas >>> portas seja direcionado para o servidor correto. >>> >>> $IPT -t nat -A PREROUTING -i $EXT -p tcp --dport 3389 -j DNAT --to >>> 192.168.0.x >>> $IPT -t nat -A PREROUTING -i $EXT -p tcp --dport 3388 -j DNAT --to >>> 192.168.0.x1 >>> $IPT -t nat -A PREROUTING -i $EXT -p tcp --dport 3387 -j DNAT --to >>> 192.168.0.x2 >>> $IPT -A FORWARD -p tcp -d 192.168.0.x --dport 3389 -j ACCEPT >>> $IPT -A FORWARD -p tcp -d 192.168.0.x1 --dport 3388 -j ACCEPT >>> $IPT -A FORWARD -p tcp -d 192.168.0.x2 --dport 3387 -j ACCEPT >>> >>> Vindo de fora, tudo tranquilo, porém de dentro se eu tentar conectar >>> no meu servidor de ts usando 192.168.0.x eu conecto, se eu tentar via >>> 189... não vai. >>> Dei uma monitorada e percebi que minha requisição usando o 189... >>> partindo da minha rede interna bate na $INT. Então tentei a seguinte >>> regra, antes das demais acima: >>> >>> $IPT -t nat -A PREROUTING -p tcp -i $INT -d 189... --dport 3389 -j >>> DNAT --to 192.168.0.x >>> >>> Pela minha básica noção de interpretação de tcpdump ele esta mandando >>> o que esta indo na $INT com 189... para o 192.168.0.x corretamente >>> porém mesmo assim não conecta. >>> >>> Dicas ? :) >>> >>> []'s >>> >>> >> >> --------------------------------------------------------------------- >> Esta mensagem pode conter informacao confidencial. >> Se voce nao for o destinatario ou a pessoa autorizada a receber >> esta mensagem, nao podera usar, copiar ou divulgar as informacoes nela >> contidas ou tomar qualquer acao baseada nessas informacoes. Se >> voce recebeu esta mensagem por engano, favor avisar imediatamente o >> remetente, respondendo o e-mail e, em seguida, apague-o. >> Agradecemos sua cooperacao. >> >> This message may contain confidential information. >> If you are not the addressee or authorized person to receive it for the >> addressee, you must not use, copy, disclose or take any action based on >> this message or any information herein. If you have received this message >> in error, please advise the sender immediately by replying this e-mail >> message and delete it. >> Thanks in advance for your cooperation. >> ---------------------------------------------------------------------- >> LIM16 Faculdade de Medicina USP >> ---------------------------------------------------------------------- >> >> -- >> GUS-BR - Grupo de Usuários de Slackware Brasil >> http://www.slackwarebrasil.org/ >> http://groups.google.com/group/slack-users-br >> >> Antes de perguntar: >> http://www.istf.com.br/perguntas/ >> >> Para sair da lista envie um e-mail para: >> [email protected] > > > Não "aresolve" :)
Tenta marcar os pacotes e definir uma rota de acorco com essa marca, mais ou menos assim: # eth0 = lan # eth1 = internet # Marca iptables -t mangle -A PREROUTING -i eth0 -p tcp --dport 3389 -j MARK --set-mark 21 iptables -t mangle -A PREROUTING -i eth1 -p tcp --dport 3388 -j MARK --set-mark 22 # Cria as tabelas de roteamento echo "21 ts_lan" >> /etc/iproute2/rt_tables echo "22 ts_internet" >> /etc/iproute2/rt_tables # Relaciona as marca às respectivas tabelas de roteamento ip rule add fwmark 21 table ts_lan ip rule add fwmark 22 table ts_internet # Define a rota ip route add default via $TSSERVER1 table ts_lan ip route add default via $TSSERVER1 table ts_internet Tem que repetir isso p/ cada server, a parte de criar as tabelas tu só deve fazer uma vez e tem que cuidar p/ não repetir os números.
-- GUS-BR - Grupo de Usuários de Slackware Brasil http://www.slackwarebrasil.org/ http://groups.google.com/group/slack-users-br Antes de perguntar: http://www.istf.com.br/perguntas/ Para sair da lista envie um e-mail para: [email protected]
