Iptables help urgente.!!!!!

Galera, boa tard;

montei um firewall iptables com as regras abaixo, e aparentemente funciona tudo corretamente, mas passados alguns minutos algumas regras param de funcionar, principalmente as regras de voip e telnet.

será que alguém poderia me ajudar.?

#CARREGANDO MODULOS
MOD="/sbin/modprobe"
$MOD iptable_nat
$MOD ip_tables
$MOD ip_conntrack
$MOD ip_conntrack_ftp
$MOD ip_nat_ftp
$MOD ipt_MASQUERADE

#CRIANDO VARIAVEL DO IPTABLES
IPT="/usr/sbin/iptables"

#CRIANDO VARIAVEIS DE REDE
REDE="192.168.0.0/24"
VOIP="192.168.0.55"
JEFFERSON="192.168.0.16"
KARLA="192.168.0.27"
HANIN="192.168.0.20"

#HABILITANDO IP FORWARD
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

#ZERANDO REGRAS NORMAIS DO FIREWALL
$IPT -t filter -F
$IPT -t filter -X
$IPT -t filter -Z

#ZERANDO REGRAS NAT DO FIREWALL
$IPT -t nat -F
$IPT -t nat -X
$IPT -t nat -Z

#CRIANDO CHAINS NORMAIS
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT

#CRIANDO CHAINS NAT

$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT

#LIBERANDO LOOPBACK
$IPT -A INPUT -i lo -j ACCEPT

#CRIANDO REGRAS DE NAT
$IPT -t nat -A POSTROUTING -s $REDE -o eth0 -j MASQUERADE

#LIBERANDO CONEXOES JA EXISTENTES
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#CRIANDO REGRAS DE PING
$IPT -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/s -j ACCEPT
$IPT -A FORWARD -p icmp --icmp-type 8 -j ACCEPT

#CRIANDO REGRAS DE FTP (20,21)
$IPT -A FORWARD -s $REDE -p tcp --dport 20:21 -j ACCEPT

#CRIANDO REGRAS DE SSH (22)
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A FORWARD -s $REDE -p tcp --dport 22 -j ACCEPT

#CRIANDO REGRAS DE TELNET (23)
$IPT -A FORWARD -s $REDE -p tcp --dport 23 -j ACCEPT

#CRIANDO REGRAS HTTP (80,443,8080)
$IPT -A FORWARD -s $REDE -p tcp -m multiport --dport 80,443,8080 -j ACCEPT

#CRIANDO REGRAS DE DNS (53)
$IPT -A FORWARD -p udp --dport 53 -j ACCEPT

#CRIANDO REGRAS DE EMAIL (25,110)
$IPT -A FORWARD -s $REDE -p tcp -m multiport --dport 25,110 -j ACCEPT

#CRIANDO REGRAS VOIP
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to $VOIP
$IPT -t nat -A PREROUTING -i eth0 -p tcp -m multiport --dport 8080 -j DNAT --to $VOIP
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 23 -j DNAT --to $VOIP
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 161:162 -j DNAT --to $VOIP
$IPT -A FORWARD -s $REDE -p udp --dport 161:162 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 9003 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p tcp --dport 9003 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 9000:9002 -j DNAT --to $HANIN
$IPT -A FORWARD -s $HANIN -p tcp --dport 9000:9002 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 1718:1719 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p udp --dport 1718:1719 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 1720 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p tcp --dport 1720 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 2000:2063 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p tcp --dport 2000:2063 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 5001 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p udp --dport 5001 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 10064 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p udp --dport 10064 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 10240:11200 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p udp --dport 10240:11200 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 5060 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p tcp --dport 5060 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p udp --dport 5060 -j DNAT --to $VOIP
$IPT -A FORWARD -s $VOIP -p udp --dport 5060 -j ACCEPT
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 5631:5632 -j DNAT --to $JEFFERSON
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 5900 -j DNAT --to $KARLA

conselho..

para que vc coloca regras no FORWARD com -j ACCEPT.. se sua politica ja esta fazendo isso?

nao existe necessidade de regra nenhuma sua no FORWARD..

vc ja configurou a politica default para isso.

eu escrevi errado.... a regra e FORWARD DROP

um dica pra vc

IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to $VOIP

tira o $VOIP e adiciona --to-destination ip:porta

ficaria assim

$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.0.55:20

$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.0.55:20:21


depois testa assim, ai nunca testei, se funcionar me avisa

$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.0.55:20:21

t+

$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.0.55:20:21
essa nao vai funciona

eh assim na verdade
$IPT -t nat -A PREROUTING -i eth0 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.0.55:20-21

n vai funcionar? claro que vai funcionar, so que seu firewall vai fica maior com mais regras, eheheheh

bom que eu aprendir que é com - e não com :

valeu :)

Dica,

Se a regra cima for para um servidor FTP..

nao existe a necessidade de se direcionar a porta 20.

a porta 20 é utilizada apenas para ftp-data é a sessao é a berta pelo servidor e nao pelo cliente.. e ainda assim essa conexao na porta 20 que o ftp abre de volta ao cliente é via tunnel ja estabelecido pela porta 21.

[]'s