Qual a possibilidade ?

Boa noite galera, queria saber se é possivel configurar meus servidores com as seguintes setups:

Primeiramente tenho um link ppp com a embratel, este link entra num router cisco que distribui um range de ips validos p/ mim, atras do cisco tenho meus servidores com ips validos agora vamos lá, tenho o server 1 e tenho o server 2 que tem como gateway o cisco, o server 1 roda dns, firewall e email e ainda é o default gateway da minha rede interna, ele faz o nat da rede. E tenho o servidor 2 que esta rodando apenas dns, no server 2 eu configurei o ftp e esta rodando perfeitamente e aceita conexões externas, porem meu chefe quer o seguinte setup. Como no servidor 1 temos um qos para controlar a banda eu preciso que as requisições de ftp entre pelo servidor 1 e pela rede interna jogar no servidor de ftp que esta no servidor 2 e o servidor 2 devolve pro servidor 1 a requisição do ftp, porem como o cisco é o default gateway do servidor 1 e do servidor 2 quando a requisição chega no server 1 ele passa pro servidor 2 porem meu server 2 não retorna para o servidor 1 ele passa para o cisco que é o default gw dele, como eu faria para o servidor 2 retornar para o server 1 a solicitação de ftp ou seja devolver a informação para a origem ? Grato.

Citação:

Postado originalmente por GuE

Boa noite galera, queria saber se é possivel configurar meus servidores com as seguintes setups:

Primeiramente tenho um link ppp com a embratel, este link entra num router cisco que distribui um range de ips validos p/ mim, atras do cisco tenho meus servidores com ips validos agora vamos lá, tenho o server 1 e tenho o server 2 que tem como gateway o cisco, o server 1 roda dns, firewall e email e ainda é o default gateway da minha rede interna, ele faz o nat da rede. E tenho o servidor 2 que esta rodando apenas dns, no server 2 eu configurei o ftp e esta rodando perfeitamente e aceita conexões externas, porem meu chefe quer o seguinte setup. Como no servidor 1 temos um qos para controlar a banda eu preciso que as requisições de ftp entre pelo servidor 1 e pela rede interna jogar no servidor de ftp que esta no servidor 2 e o servidor 2 devolve pro servidor 1 a requisição do ftp, porem como o cisco é o default gateway do servidor 1 e do servidor 2 quando a requisição chega no server 1 ele passa pro servidor 2 porem meu server 2 não retorna para o servidor 1 ele passa para o cisco que é o default gw dele, como eu faria para o servidor 2 retornar para o server 1 a solicitação de ftp ou seja devolver a informação para a origem ? Grato.

Cara, seus server estão cada um ligado em uma interface do router ou estão ligados em um switch que está ligado no router?? Se todos estiverem no router ai é complicado pq o router sempre vai rotear! Ele não faz switching...

Agora, se vc tiver eles ligados em um switch e ambos os server estiverem na mesma rede, tem algo errado!! Porque se vc faz nat, o servidor 2 vê as conexões como sendo originadas pelo server 1 e por consequencia ele devolve as respostas pro server 1 sem passar pelo router pois ambos os server são da mesma rede e estão diretamente conectados...

Detalha mais um pouco ai...
Até mais...

Então, os server e o cisco estão no mesmo switch e cada interface do server estão na mesma rede ou seja, eth0 do server 1 e server 2 mesma rede do cisco e eth1 do server 1 e do server 2 estão na mesma rede 192.168.1 . . .

Citação:

Postado originalmente por GuE

Então, os server e o cisco estão no mesmo switch e cada interface do server estão na mesma rede ou seja, eth0 do server 1 e server 2 mesma rede do cisco e eth1 do server 1 e do server 2 estão na mesma rede 192.168.1 . . .

Ah, perai! O seu server2 também tem conexão com a rede interna! Por qual IP ou nome sua rede interna acessa o FTP?? Porque se ele acessa por um ip da rede interna, o server2 deveria devolver diretamente para os hosts da rede interna.

Só pra confirmar a questão de roteamento, dá um traceroute do server1 pros 2 IPs do server2 e um tracert dos hosts pro endereço/nome do FTP pra confirmar por onde eles tão passando...

Tenta detalhar ai, sua topologia, tabela de roteamento e IPs/mascaras...

valeu...

WAN
Cisco 200.228.110.2
Server 1 Eth0 200.228.110.1
Server 2 Eth0 200.228.110.4

Lan
Server 1 Eth1 192.168.1.253
Server 2 Eth1 192.168.1.250

Server 1
[root@waemea /]# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
200.228.110.0 0.0.0.0 255.255.255.192 U 0 0 0 eth1
192.168.2.0 192.168.1.251 255.255.255.0 UG 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 200.228.110.2 0.0.0.0 UG 0 0 0 eth1

Server 2
bells:/# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
200.228.110.0 0.0.0.0 255.255.255.192 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
0.0.0.0 192.168.1.250 0.0.0.0 UG 0 0 0 eth1
0.0.0.0 200.228.110.2 0.0.0.0 UG 0 0 0 eth0

Cara muito simples,

Você usa o server 2 (ftp) com um ip falso (rede lan) e pluga no switch da rede local, e faz o apontamento Dnat no firewall para ele, o firewall (nat) faria as requisições e controle de banda ao firewall.

Ou vc pode colocar uma outra Ethernet e criar uma DMZ, e fazendo a mesma coisa, um Dnat.

É isso que vc quer ???

Foi +- o que entendi.

Flw

O FTP eles acessam via qual IP??

Citação:

Postado originalmente por Magnun

O FTP eles acessam via qual IP??

a pergunta é exatamente essa.

A principio o ftp acessa no server 2 direto no 200.228.110.4 pela wan, mais preciso que entre pelo server 1 200.228.110.1 e pela lan o server 1 entrega no server 2, isso já contece mais o server 2 não devolve a requisição pro server 1 ele manda pro cisco 200.228.110.2 que é o gw dos 2 servers

voce está tentando acessar o ftp da onde? de uma etação com ip 192.168. ou do outro servidor?

Eu quero acessar de fora qualquer usuario da internet que passar login e senha vai digitar ftp.ripcurl.com.br, no dns a entrada é 200.228.110.1 ae quero fazer o esquema de jogar no server 2

vamos lá, acho que agora entendi o que voce quer.
voce quer rodar o serviço de ftp no server 2, mas escrever e ler dados que estao no server 1. correto?

isso é simples, voce tem que fazer um compartilhamento no servidor 1 do diretorio que voce quer ler/escrever (pode ser via NFS ou samba por exemplo), depois de montado no servidor 2 é só dizer que o home do usuario x do ftp é o diretorio compartilhado =)

bom, se for isso mesmo que voce quer fazer é assim que resolve.
deu pra sacar?

ahh sim, cuidado quando for fazer compartilhamento para ele nao ficar abertao para a internet.

Não cara, eu quero fazer um redirect de portas, conectar ftp no server 1 foward pro server 2, só que o server 2 ta jogando no gw dele que é o cisco ao inves de devolver pro server 1, quer saber oque preciso fazer pro server 2 devolver os pacotes de ftp que entraram pelo server 1 apenas isso.

Citação:

Postado originalmente por GuE

Não cara, eu quero fazer um redirect de portas, conectar ftp no server 1 foward pro server 2, só que o server 2 ta jogando no gw dele que é o cisco ao inves de devolver pro server 1, quer saber oque preciso fazer pro server 2 devolver os pacotes de ftp que entraram pelo server 1 apenas isso.

voce vai ter que colocar o server 1 como gateway padrao do server 2.
gambiarra nenhum pouco recomendada, mas funciona.

Ah.... você ta conectando externamente?! Pensei que era da rede interna!! Então é por isso... Faz um Nat de origem no server1 que resolve...

Dessa forma o server1 recebe e envia a requisição pro server2 como sendo ele quem requisitou. Então o server2 vai devolver pro server1...

O único problema é que os logs do ftp vão ser sempre como sendo o server1 acessando....

Testa ai...

Galera seguinte, se eu rodo o ftp no firewall fica tudo certim, porem quem vai roda ftp é outra maquina interna, olha como fiz o firewall, no proftd dexei como passiveport de 60000 a 61000, eu presivo fazer um dnat nessas portas ou so na 21 e 20 ? pois não esta funcionando o prerouting, so lembrando que o gateway do ftp não é o meu firewall é o cisco citado acima.

#Ativando Nat
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

#Limpando configurações anteriores"
iptables -F

#Portas de INPUT Free
#loopback
iptables -A INPUT -i lo -j ACCEPT

#LIBERA UOL
iptables -t nat -I PREROUTING -i eth0 -m tcp -p tcp -d 200.221.0.0/16 --dport 80 -j ACCEPT

#teste FTP
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 60000:61000 -j ACCEPT
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 21 -j DNAT --to 192.168.1.250:21
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 20 -j DNAT --to 192.168.1.250:20
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 60000:61000 -j DNAT --to 192.168.1.250:60000

#SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#FTP
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
#iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#iptables -A INPUT -p tcp --dport 60000:61000 -j ACCEPT
#WWW
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#Rede Local Free
iptables -A INPUT -p tcp --syn -i eth0 -j ACCEPT
iptables -A INPUT -p udp -i eth0 -j ACCEPT

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Fecha o resto
iptables -A INPUT -p tcp --syn -j DROP

Citação:

Postado originalmente por GuE

Galera seguinte, se eu rodo o ftp no firewall fica tudo certim, porem quem vai roda ftp é outra maquina interna, olha como fiz o firewall, no proftd dexei como passiveport de 60000 a 61000, eu presivo fazer um dnat nessas portas ou so na 21 e 20 ? pois não esta funcionando o prerouting, so lembrando que o gateway do ftp não é o meu firewall é o cisco citado acima.

#Ativando Nat
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

#Limpando configurações anteriores"
iptables -F

#Portas de INPUT Free
#loopback
iptables -A INPUT -i lo -j ACCEPT

#LIBERA UOL
iptables -t nat -I PREROUTING -i eth0 -m tcp -p tcp -d 200.221.0.0/16 --dport 80 -j ACCEPT

#teste FTP
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 60000:61000 -j ACCEPT
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 21 -j DNAT --to 192.168.1.250:21
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 20 -j DNAT --to 192.168.1.250:20
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 60000:61000 -j DNAT --to 192.168.1.250:60000

#SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#FTP
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
#iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#iptables -A INPUT -p tcp --dport 60000:61000 -j ACCEPT
#WWW
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#Rede Local Free
iptables -A INPUT -p tcp --syn -i eth0 -j ACCEPT
iptables -A INPUT -p udp -i eth0 -j ACCEPT

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Fecha o resto
iptables -A INPUT -p tcp --syn -j DROP

Você vai ter que fazer um SNAT se não não vai funcionar...

Eita nunca vi isso, tem como dar uma ideia ? Outra duvida, o prerouting fica antes ou depois do input ?

Citação:

Postado originalmente por GuE

Eita nunca vi isso, tem como dar uma ideia ? Outra duvida, o prerouting fica antes ou depois do input ?

A prerouting fica antes da INPUT. Aqui tem um esquema de todas as chains: http://focalinux.cipsga.org.br/guia/...w-iptables.htm
Procura pelo item 10.7.9.

Quanto ao SNAT, na mesma página no ítem 10.4.3. Pra esse eu consegui um link direto: Guia Foca GNU/Linux - Firewall iptables

O SNAT é tranquilo, é um NAT de Origem (Source NAT).

Qualquer dúvida posta ai...

Magnum vc acha de devo trocar no input da rede local a inerface pela rede ? Grato.

eth1 por 192.168.0.0/24 ?

Outra coisa, vi alguns artigos que para fazer o redirect ele primeiro jogava o prerouting e depois input e outras usavam o foward qual a diferença ?

#iptables -A FORWARD -j ACCEPT -p tcp --dport 80
#iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to 10.0.80.32:80

Pessoal vcs tem certeza que p/ pegar o dnat essas coisas p/ redirecinar porta o default gateway não precisa ser a maquina firewall solicitante ? Pois tenho o cenario a cima que o cisco é o gateway dos servers

Pq to fazendo tudo igual mudo aqui acrescento ali e não pega de nenhuma forma nenhuma porta, ma maquina 192.168.1.250 esta input pra porta 22 vc podem testar o ip valido dela é ssh 200.228.110.4

#Ativando Nat
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
echo 1 > /proc/sys/net/ipv4/ip_forward

#Limpando configurações anteriores"
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X

#Portas de INPUT Free
#loopback
iptables -A INPUT -i lo -j ACCEPT

#LIBERA UOL
iptables -t nat -I PREROUTING -i eth0 -m tcp -p tcp -d 200.221.0.0/16 --dport 80 -j ACCEPT

#SSH
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 22 -j DNAT --to 192.168.1.250:22
iptables -A FORWARD -p tcp --dport 22 -d 192.168.1.250 -J ACCEPT

#DNS
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT

#Rede Local Free
iptables -A INPUT -p tcp --syn -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Fecha o resto
iptables -A INPUT -p tcp --syn -j DROP

#Mascara
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Cara, seguinte. Deixa eu te explicar o que acontece.

Vamos pegar a seguinte estrutura:
Código :

|---Firewall Internet--Router--| |---FTP
Router com o IP 200.0.0.254/24, Firewall com o IP 200.0.0.1/24 (gateway 200.0.0.254) e FTP com o IP 200.0.0.2/24, (gateway 200.0.0.254). Vamos supor qua a origem do pacote seja 200.200.200.200/24.

Vou explicar o que acontece passo a passo:

Quando o host de origem gera o pacote ele contem os campos IP de origem e IP de destino da seguinte forma:
origem: 200.200.200.200/24
destino: 200.0.0.1/24

Esse pacote vai chegar no seu router e seu router vai encaminhar esse pacote pro firewall (200.0.0.1/24). Quando esse pacote chegar no firewall ele vai fazer o DNAT. O "novo" pacote ficará assim:
origem: 200.200.200.200/24
destino: 200.0.0.2/24

O firewall vai encaminhar esse pacote pro FTP. Quando o FTP receber esse pacote ele vai processar e responder. Quando ele responder ele vai gerar o pacote da seguinte forma:
origem: 200.0.0.2/24
destino: 200.200.200.200/24

O FTP vai encaminhar esse pacote pro router já que a rede de destino (200.200.200.0/24) não é a mesma rede que a dele (200.0.0.0/24). Ao chegar no destino o pacote será analisado e descartado, pois a conexão foi aberta entre os hosts 200.200.200.200 e 200.0.0.1 e não entre o 200.200.200.200 e o 200.0.0..2 como é mostrado no cabeçalho do pacote.

Agora esse mesmo cenário utilizando o SNAT e o DNAT.
Os primeiros passos são o mesmo mas ao chegar no firewall o pacote será nateado e enviado para o FTP da seguinte forma:
Origem: 200.0.0.1
Destino: 200.0.0.2

Isso se deve ao nat de origem e destino. Quando o FTP receber essa requisição ele vai tratar e devolver pra origem que é 200.0.0.2 (firewall). O firewall por sua vez vai desfazer o nat e devolver esse pacote pro 200.200.200.200 da seguinte forma:
Origem: 200.0.0.1
Destino: 200.200.200.200

Ao receber esse pacote a origem vai concluir a conexão e os dados serão trafegados seguindo a mesma lógica.

Esse é o motivo de usar SNAT. Caso não queira usar SNAT te recomendo colocar esse FTP atrás do firewall com um IP não válido. Dessa forma só é necessário o DNAT e as documentações das conexões serão feitas proriamente.

Espero ter sido claro...
Qualquer dúvida posta ai..
Até mais.

Sim isso eu sei, mais oque não acontece é meu firewall recebe a requisição ftp (server 1 - ip valido rede 200.228) ele esta fazendo o dnat para o ip não valido do server 2 192.168.1.250 mais não acontece nada, pois o gateway do server 2 é o cisco, mesmo o gateway dos server 1 e 2 sendo o cisco não teria problema no dnat ? pois ele entra pela rede local ae quando ele vai devolver o pacote ele não manda pro default gateway ? as regras do firewall esta acima oque pode ter de errado ? Eu consigo apontando o gateway pro server 1, mais como vcs falam que tem como sem apontar pro server 1