NAT DNS para Proxy Transparente.

Boa Tarde Pessoal

Criei a seguinte regra no iptables para o proxy funcionar de forma transparente, e as estações de trabalho configurei o DNS com o endereço IP do servidor firewall (192.168.0.1).

### Regra SQUID
iptables -t nat -A PREROUTING -s $LAN -p tcp --dport 80 -j REDIRECT --to-port 3128

Só que minha NAT de DNS não funciona!!!! estou faznedo essa NAT da seguinte forma:
## Regra Forward para DNS
iptables -A FORWARD -p udp -s $LAN -d $FW1 -o eth0 --dport 53 -j ACCEPT
iptables -A FORWARD -p udp -d $LAN -s $FW1 -i eth0 --sport 53 -j ACCEPT

#Regra NAT p DNS
iptables -t nat -A PREROUTING -s $LAN -p udp --dport 53 -j DNAT --to $DNS:53

$LAN é minha rede local 192.168.0.0
$DNS é o endereço de DNS da velox 200.165.132.147

O detlahe é que se configuro na estações de trabalho o DNS com o endereço IP 200.165.132.147 e faço a regra de NAT p DNS dessa forma abaixo funciona
#Regra NAT p DNS
iptables -t nat -A POSTROUTING -s $LAN -p udp --dport 53 -o eth0 -j MASQUERADE

Se alguem poder me ajudar agradeço muito.

Obrigado

bem.. se eu entendi bem, seu DNS está nessa máquina; SE for esse o caso, então a regra não pode ser FORWARD, mas apenas INPUT:

então, refaça a regra, observando o seguinte: INPUT (ao invés de FWD) e TAMBÉM não pode ser -o eth0, pq não vai sair daí, vai ficar aí mesmo.

iptables -A INPUT -p udp -s $LAN --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -s $LAN --dport 53 -j ACCEPT

Não amigo! o DNS é do Terra não esta nesta maquina.

2 perguntinhas:

considerando sua afirmativa, 1o post:

"Criei a seguinte regra no iptables para o proxy funcionar de forma transparente, e as estações de trabalho configurei o DNS com o endereço IP do servidor firewall (192.168.0.1)."

a) COMO então não tem o DNS no servidor? ou tem, ou não tem.. :(

b) então quem é $FW1??

flames > /dev/null

Deixa eu tentar te explicar melhor Irado

Segue baixo as configurações de rede de uma estação de trabalho:
ip:192.168.0.3
gateway: 192.168.0.1
dns:192.168.0.1

Respondendo suas perguntas

a) COMO então não tem o DNS no servidor? ou tem, ou não tem.. :(

Não existe DNS no servidor, o que preciso é criar uma NAT quando chegar um requisição de DNS vindo a rede 192.168.0.0, ele redirecionar essa requisão para o endereço ip 200.165.132.147.

é isso q estou tentando fazer nessa regra.

iptables -t nat -A PREROUTING -s 192.168.0.0 -p udp --dport 53 -j DNAT --to 200.165.132.147:53

b) então quem é $FW1??

o FW1 é esta recebendo o endereço ip da placa local do firewall, ele recebe o ip 192.168.1.1

Obrigado por tentar me ajudar

neste caso em particular eu acredito que o melhor seria ter um DNS-cache nessa máquina com o forwarder do terra (embora eu prefira o dns-google). Isso simplifica, vc não precisaria mais de redirecionamento.

iptables -t nat -A PREROUTING -s 192.168.0.0 -p udp --dport 53 -j DNAT --to 200.165.132.147:53

acho que falta um /24 (ou outra netmask) no ip-addr; da maneira como está, é assumido 0/32, que é o de broadcast da rede, então, como não pertence a qualquer máquina, não será roteado.

estas regras me parecem inadequadas:
iptables -A FORWARD -p udp -s $LAN -d $FW1 -o eth0 --dport 53 -j ACCEPT
iptables -A FORWARD -p udp -d $LAN -s $FW1 -i eth0 --sport 53 -j ACCEPT

se está usando o iptables como "statefull", a 2a regra é desnecessária. Quanto a 1a regra, volto a dizer: SE houvesse um DNS aí, deveria ser INPUT. Não havendo, então só a PREROUTING deve dar conta, pq vc não precisa ACEITAR a entrada (-s $LAN) para $FW1, de vez que $FW1 não mantém tal serviço, só o roteia..

para ser mais conveniente (mas menos que o DNS-cache) seria deixar que as máquinas "ganhassem" diretamente o DNS-server definitivo pelo dhcp, então vc liberaria o pre-routing/masquerade com mais facilidade:

$IPT -t nat -A PREROUTING -i $NIC_INTERNA -s $REDE -d 0/0 -j ACCEPT
$IPT -t nat -A POSTROUTING -s $REDE -p ALL -o $NIC_EXTERNA -j MASQUERADE

é uma regra meio (muito) permissiva, mas deve funcionar bem até que vc pegue o jeitão da coisa.

Citação:

Postado originalmente por wasley

Deixa eu tentar te explicar melhor Irado

Segue baixo as configurações de rede de uma estação de trabalho:
ip:192.168.0.3
gateway: 192.168.0.1
dns:192.168.0.1

Respondendo suas perguntas

a) COMO então não tem o DNS no servidor? ou tem, ou não tem.. :(

Não existe DNS no servidor, o que preciso é criar uma NAT quando chegar um requisição de DNS vindo a rede 192.168.0.0, ele redirecionar essa requisão para o endereço ip 200.165.132.147.

é isso q estou tentando fazer nessa regra.

iptables -t nat -A PREROUTING -s 192.168.0.0 -p udp --dport 53 -j DNAT --to 200.165.132.147:53

b) então quem é $FW1??

o FW1 é esta recebendo o endereço ip da placa local do firewall, ele recebe o ip 192.168.1.1

Obrigado por tentar me ajudar

Boa tarde a todos,

Depois de alguns anos sem participar do fórum ao que tenho muita afinidade que é a parte de firewall e segurança, hoje sobrou um tempo e venho através deste tentar ajudar com minha humilde experiência.

Qual distribuição você ta usando? ( só por curiosidade )

Vamos lá:

Concordo com nosso colega irado, séria bem mais interessante você possui um DNS-CACHE internamente.

Baseando no Guia Foca-Linux onde a regra a abaixo não é valida:

Citação:

iptables -t nat -A PREROUTING -s 192.168.0.0 -p udp --dport 53 -j DNAT --to 200.165.132.147:53

Pois DNAT só é realizado pelo netfilter de Lan para Lan ou de WAN para LAN, nunca de WAN para WAN ou LAN para WAN que é o caso da regra acima.

Citação:

$IPT -t nat -A PREROUTING -i $NIC_INTERNA -s $REDE -d 0/0 -j ACCEPT
$IPT -t nat -A POSTROUTING -s $REDE -p ALL -o $NIC_EXTERNA -j MASQUERADE

Agora não concordo com você caro colega "Irado", pois a primeira regra não irá adiantar nada se a política da chain FORWARD da tabela filter estiver DROP` e a regra abaixo dessa está liberando tudo da rede dele criando sérios riscos no firewall do Wesley.

Com base na resposta acima você deve está se perguntando, " e agora? " ehehhehehe
Bom, como sempre utilizo um serviço de DNS-Cache interno eu nunca precisei passar por isso mas um certo dia um aluno me perguntou algo muito parecido, então realizei os testes em sala de aula e deu certo.

SOLUÇÃO:

Supondo que seu GW esteja seu servidor proxy, ele terá que está com DNS funcionando perfeitamente, para isso você deverá verificar o arquivo /etc/resolv.conf e realizar testes básicos como "ping www.google.com.br" através desse servidor.

Uma vez funcionando tudo perfeitamente, você irá em máquina da sua rede interna, windows ou linux e apontar o servidor DNS para o ip do seu GW. Logo em seguida basta liberar a posta 53 na chain input no servidor Proxy.

iptables -I INPUT -s 192.168.0.0/24 -p tcp --dport 53 -j ACCEPT
iptables -I INPUT -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT

Pronto, com isso suas máquinas da sua rede interna irão conseguir resolver os nomes.

Espero ter ajudado, caso tenha dúvidas, favor coloca poste ou me manda um e-mail, [email protected].

OBS: A chain output da tabela filter deixe ACCEPT.

Att,

Obrigado a todos os amigos...

Farei os testes e depois retorno!

Abraços
wasley