Redirecionamento decente

Eaew povo......to cum baiita dum problema aki, atualmente pra fazer redirecionamento de portas e IP's, eu uso um programa chamado "redir", ele ateh q funciona bunitin.....o problema eh o seguinte....

Citação:

---

[INTERNET] ----> <IP-EXTERNO | 192.168.0.1> ----> [APACHE]

---

Ai quando a conexao chega no apache, ele fala que o acesso veio da maquina 192.168.0.1, ou seja qq programa de analize do apache, tipo o awstats, ele fala que durante toda a vida do apache soh teve 1 visitante unico (ja q o unico IP q ele acha eh o do roteador)....alguem sabe como fazer um que funcione.....pq os que eu andei olhando aki pelo forum tbm deram na msma.....

iptables -t nat -A PREROUTING -p tcp -d ip_externo --dport 80 -j DNAT --to 192.168.0.x:80

Caro SDM,

A regra correta é essa:

Código :

---

-t nat -A POSTROUTING -o ethx -p tcp --dport 80 -j MASQUERADE
-t nat -A PREROUTING -i ethy -p tcp --dport 80 -j DNAT --to ip_www

---

ethx = Interface da Internet
ethy = Interface da Rede
ip_www = ip do servidor de apache

Tente ai...

Falou,

Pessoal eu tb uso o redir, pois nao consegui fazer funcionar o redirecionamento pelo iptables, eu coloco as regras e simplemente nao funciona, nao sei pq.

[] Dotta :twisted:

aew wrochal, eu tentei...mas ainda assim ele nao foi.....com o detalhe de q eu ja tenho como regra (UNICA REGRA) aquela de redirecionamento....num lembro direito como eh....mas eh uma MASQUARADE em POSTROUTING, que permite tudo de todo lugar pra qq lugar

eu agora rodei um nmap na maquina tbm, e ele retorno a porta como filtered, e nao como open....isso eh normal??

E ai :D

é normal o nmap retornal portas prerountig como filtradas ( elas realmente são filtradas ) :). Cara olha se vc conseguir redirecionar a porta me explica como ja tentei varios comando, nenhum funciona.... nos meus firewall eu rerdireciono a porta 2210, para o ip 192.168.1.10 na porta 22 (ssh). ja tentei ate o comando:

iptables -A FORWARD -i eth0 --dport 2210 -j REDIRECT 192.168.1.10:22

e não funciona :(

[] Dotta

eai....eu tbm tentei essas coisa q vc fez....tentei tbm substiruir o -i ethX por -d ip-destino e tbm num funfo

eu num sabia desses esquema ai de filtrada....mas agora to sabendo....=D

bom cara eu uso o seguinte e funciona com apache, jogos, etc...é igual o que muito nego citou ae.... vc está testando como? teria que testar de alguma máquina de fora da sua rede...

iptables -t nat -A PREROUTING -d meu_lindo_ip -p tcp --dport 80 -s 0/0 -j DNAT --to-destination IP_REDE_INTERNA

Citação:

---

Postado originalmente por PiTsA

bom cara eu uso o seguinte e funciona com apache, jogos, etc...é igual o que muito nego citou ae.... vc está testando como? teria que testar de alguma máquina de fora da sua rede...

iptables -t nat -A PREROUTING -d meu_lindo_ip -p tcp --dport 80 -s 0/0 -j DNAT --to-destination IP_REDE_INTERNA

---

Essa regra ai que o PITSA recomendou tambem funcionaria

ip da wan = 200.204.0.10
ip interno = 192.168.0.1

iptables -t nat -A PREROUTING -d 200.204.0.10 -p tcp --dport 80 -s 0/0 -j DNAT --to-destination 192.168.0.1:80

Tente isso... tmb

falou,

uhauhauhauh.. :lol:
num eh possivel....o servidor aki deve ta bixado....eu quando volta pra casa vo tentar no roteador de la.....q fezes..... :D

ai pessoal, aqui em casa eu tentei de todos os jeitos q vcs falaram, e todos eles tao redirecionando como antes:

Citação:

---

10.0.10.10 - - [21/Sep/2004:18:07:11 -0300] "GET / HTTP/1.1" 200 1803

---

esse foi um acesso feito externamente.....mas como da pra ver, ele aparece com o ip interno do servidor..... :cry:
alguma ideia???

como tah o seu masquerade SDM??

posta tdo o q vc tiver ae d iptables hehehehe

[]'s

Sua regra de masquerade deve ser especifica para a interface externa, se não ele mascara os ips externos para dentro da rede tambem, ou seja, coloca na regra de mascaramento um
-o interface_externa

nao t esquece de seta o gw padrao da maquina com o apache pra maquina que tem as regras do iptables :p

a regra de redirecionamento ta certa la em cima, mas falta ver a chain forward, se ela ta permitindo a passagem, se nao soh libera ai.

iptables -A FORWARD -s origem -d destino -j ACCEPT


Att.,

Rodrigo

Citação:

---

Postado originalmente por Anonymous

a regra de redirecionamento ta certa la em cima, mas falta ver a chain forward, se ela ta permitindo a passagem, se nao soh libera ai.

iptables -A FORWARD -s origem -d destino -j ACCEPT


Att.,

Rodrigo

---

bom mas nesse caso entao eu soh posso usar a opcao -d destino pq eu preciso permitir acesso pra todo mundo

aaahhh.....otro detalhe q eu esqueci de citar (mas q pode nao ter nada a ver com o que ta acontecendo) eh q os pacotes quando chegam no meu roteador ja sofreram um nat, ou seja....meu roteador vai fazer o 2° nat nos pacote pra mandar pra minha maquina....sera q eh isso?? 8O :?:

iptables -t nat -A PREROUTING -i if_externa -p tcp --dport 80 -j DNAT ip_webserv
iptables -t nat -A POSTROUTING -o if_externa -s ip_webserv -p tcp --sport 80 -j SNAT ip_externo

eu sempre usei assim, eh nunca tive esse problema ai... eu sei que se vc colocar o webserv pra sai em masquerade o ip dele fica invalido (privado).

talvez... pq vamos raciocinar
o primeiro FW recebe o pacote e muda o source para reenviar para o firewall da subnet correta entao o segundo FW processa o pacote e muda o DESTINATION para que o pacote va para o apache entao o apache responde diretamente a requisicao.
eh acho q vc descobriu o problema.
talvez vc tenha q repensar na estrura fisica de sua rede. :)

felco

so completando o apache responde para o ip q esta no source

e ai SDM.... e vc tentar um nat 1:1 com um alias na sua ethX, nao sei e isso pode funcionar, mas acho q sim, vc pode utilizar o SNAT em vez do MASQUERADE...

[] Dotta

ehhh.....gostei do q o visitante falo......vo tenta isso ae......agora fez sentido.....

Citação:

---

Postado originalmente por fdotta

e ai SDM.... e vc tentar um nat 1:1 com um alias na sua ethX, nao sei e isso pode funcionar, mas acho q sim, vc pode utilizar o SNAT em vez do MASQUERADE...

[] Dotta

---

uahhauhuauha....cara disculpa.....mas eu num intendi nada.... :oops:

SDM,

eu quis dizer para vc fazer um nat assim por ex.. ip_internet = 200.x.x.x. <=> ip_interno = 192.x.x.x e em vez de utilizar o MASQUERADE... quanto ao alias eu quis dizer para vc criar um "ip virtual" na sua ethx para vc so utilizar no apache.... ifconfig ethx:1 ip/mask....


entendeu???

[] Dotta
:twisted:

ah tah......agora intendi.....soh tem um problema......o roteador e o apache tao em computadores diferentes..... :D

SDM,

nao tem problema, vc faz o nat 1:1 (entende agora :idea: ), mas vc direciona para outro servidor.... ahh olha este artigo aki: http://br-linux.org/artigos/dicas_ipt.htm . Ele tem um exemplo exatamente do que te falei, um firewall em uma maquina como alias na ethx e o apache em outra maquina utilizando ip privado..... :)

[] Dotta

talvez ele tenha q fazer isso dotta, mas no caso de querer usar o SNAT para que o apache parece ter um ip valido, mas no caso ele precisa que o apache veja o ip valido de quem esta acessando ele
SDM talvez vc possa criar uma rota estatica no primeiro FW para q ele primeiramente consiga conversar com o apache, depois criar uma regra simples de DNAT nesse mesmo FW para que ele repasse diretamente para o apache a requisicao com o source valido, por exemplo

route add -host ip_do_apache/mask_da_net Ip_do_segundo_fw if_do_apache
ai essa regra vai no primeiro FW
iptables -A PREROUTING -p tcp --dport 80 -j DNAT --to ip_do_apache

nao sei se fui claro na idea q eu quis passar mas teoricamente fucinona :wink:

felco

PS.: diga mais sobre a topologia fisica da sua rede para q agente entenda melhor e de uma solucao prativa e segura

acho q o problema é nat em cima nat...

[] Dotta :twisted:

fdotta....eu li aquele doc todo....mas ainda nao intendi porque eu deveria criar um alias pra interface externa....ainda mais com um IP valido (eu uso speedy, soh tenho direito a 1 ip... :lol: )

Se você quiser um outro programinha que redireciona legal também é o RINETD .

bom com um alias e o snat acho q vc nao teria mais problemas com servidor apache, pois vc nao vai fazer o mascaramento, mas sim um "roteamente" com todas a informacoes que vc precisa... mas como é speedy, vc pode tentar sem usar o alias...

[] Dotta :twisted:

ai dotta nao quero te ofende mas vc ta viajando cara, primeiro pq o NAT nao eh um roteamento e segundo pq o NAT eo problema dele, o primeiro FW da hierarquia dele esta fazendo um SNAT para que o apache receba a bendita da conexao, pq vale LEMBRAR que a conexao para chegar ao apache passa por 2 FW, q vem de fora so q em contra-partida o apache acredita que a requisicao veio do FW qndo na verdade o SOURCE(IP DE ORIGEM) nao eh o FW e sim um maquina q esta na nuvem (INTERNET) entao, concluindo, o FW (o primeiro q recebe o speedy) tem q enviar o pacote diretamente para o apache e NAO fazer NAT para o segundo FW receber o pacote e enviar pro apache! UFA q complicacao!!!!!! :?

felco

Citação:

---

Postado originalmente por Anonymous

ai dotta nao quero te ofende mas vc ta viajando cara, primeiro pq o NAT nao eh um roteamento e segundo pq o NAT eo problema dele, o primeiro FW da hierarquia dele esta fazendo um SNAT para que o apache receba a bendita da conexao, pq vale LEMBRAR que a conexao para chegar ao apache passa por 2 FW, q vem de fora so q em contra-partida o apache acredita que a requisicao veio do FW qndo na verdade o SOURCE(IP DE ORIGEM) nao eh o FW e sim um maquina q esta na nuvem (INTERNET) entao, concluindo, o FW (o primeiro q recebe o speedy) tem q enviar o pacote diretamente para o apache e NAO fazer NAT para o segundo FW receber o pacote e enviar pro apache! UFA q complicacao!!!!!! :?

felco

---

Eu sei q o NAT nao é um roteamente (por isso que coloquei entre aspas), foi so uma forma de explicar (talves nao tenha ficado tao bom quanto pensei). E quanto as FW, é por isso que eu sugeri o snat com o alias em vez o mascaramento, para enviar os pacotes diretamente para o apache enao perder a informacao... Mas nao se preocupe... vc nao me ofendeu... esta discussoes sao bastante interesantes...

[] Dotta :twisted:

legal! :D
mas eu vou te dizer pq o alias nao vai funcionar, pq no caso ele precisa q o apache veja o IP de quem esta acessando ele e nao q ele proprio use um IP valido, entendeu?
eh simples na verdade eu ja saquei, o primeiro FW precisa repassar as conexoes diretamente para o apache ao invez de fazer o SNAT para o segundo FW, q ira na sequencia fazer um DNAT para o apache

assim vamos supor que a conexao venha de 200.200.200.200 para o speedy q eh 200.0.0.0
a conexao(q vem de 200.200.200.200) vai chegar no primeiro FW q tem o IP 200.0.0.0 este ira fazer um SNAT para uma maquina interna, q no caso eo segundo FW, ele ira mudar o IP de origem (o primeiro FW) de 200.200.200.200 para 192.168.0.1, entao o segundo FW recebera um a conexao acreditando q ela seja VERDADEIRAMENTE da maquina 192.168.0.1 entao sabendo que esse pacote e destinado a porta 80 ele ira fazer novamente um NAT, no caso o apache, entao ele ira mudar ip de DESTINO para o ip do apache eo apache por sua vez ira acreditar TAMBEM que o pacote vem do ip 192.168.0.1, entao o apache ira responder para o ip 192.168.0.1, enquanto a conexao faz o caminho reverso o segundo FW ira repassar somente repassar o pacote para o primeiro FW e este por sua vez ira reconhecer que esse pacote na verdade era o aquele antigo q ele alterou o SOURCE ip e ira novamente mudar o source para 200.0.0.0

acho q agora eu expliquei bem!


:D
felco

é faz sentido o q vc falou... como havia dito antes o esquema do snat poderia funcionar... eu nao tinha certeza disso...


PS: Pq vc nao faz um cadastro aki no under... em vez de ficar como visitante

[] Dotta :twisted:

=P eu tenho eh q eu perdi a senha e to sem cliente de mail ainda, terminei de compila meu gentoo!

pow....eu to comecando a entender essa coisa de NATs da vida.....e pelo q eu entendi agora, eu NAO posso fazer um SNAT, pq senao ele vai alterar o cabecalho mudando o ip de origem e eu nao quero q isso aconteca.....eu vo ter que dar um DNAT no pacote quando ele chegar no roteador pra que ele pegue esse pacote e mande pra rede interna.....mas sem alterar o ip fonte....

eh isso??? :?:

+/- isso vc vai ter que fazer um FW para seu servidor apache...

[] Dotta :twisted:

aaahhh tahh.....entao agora que pelo jeito estamos entendidos.....qual das regras q ja postaram aki eu posso usar????

qq uma??? :oops:

na verdade existe um POREM, contudo, entretanto (que falamos aqui), o seu primeiro FW oque esta no speedy, ele pode alcancar o firewall diretamente?
Em caso positivo
iptables -t nat -A PREROUTING -p tcp 80 --dport 80 -j DNAT ip_do_apache (essa regra vai no firewall que esta o speedy)

Em caso negativo
vc tera q criar uma rota estatica para o apache ou coloca uma nova placa de rede e ligar ela a um novo switch e coloca o server do apache nesse switch ou ainda coloca o apache no mesmo switch q esta o firewall, recomendo a primeira opcao. Mas a segunda opcao e a certa, no caso seria criado uma nova subrede q seria a DMZ da LAN, nela ficariam seus servers
Atencao tudo aqui e baseado no firewall q esta diretamente ligado ao speedy!!!!

felco

Citação:

---

Postado originalmente por Anonymous

na verdade existe um POREM, contudo, entretanto (que falamos aqui), o seu primeiro FW oque esta no speedy, ele pode alcancar o firewall diretamente?
Em caso positivo
iptables -t nat -A PREROUTING -p tcp 80 --dport 80 -j DNAT ip_do_apache (essa regra vai no firewall que esta o speedy)

---

o q eh FW??? Firewall ou FORWARD??? se for firewall eu acho q sim.....bom o q ta acontecendo, eh q no meu roteador que eu vo fazer o redir pro apache, ta chegando como fonte de ip, o IP externo, mesmo ja tendo passado por outro roteador, ou seja, esse primeiro roteador (q eu NAO tenho acesso) ta fazendo o redir bunitinho pro meu roteador (eu to tentando fala com quem fez....mas ta fo***) mas ai eu nao to consiguindo fazer ele ir com o fonte certo.....

nesse caso, pelo q eu entendi eu posso usar a primeira opcao....a do
iptables -t nat -A PREROUTING -p tcp 80 --dport 80 -j DNAT --to-destination ip_do_apache

ja que eh como se realmente estivesse

cara agora vc me confundiu, vc nao tem acesso ao roteador q esta ligado o speedy?
FW = firewall
esse roteador q esta ligado o speedy tem q direcionar diretamente ao apache

cara vc dever estar confundiondo alguma coisa (ou eu:)), o speedy te ta um ip real (internet), sem firewall, nat, ou rotemaneto, ok.... o q vc deve fazer eh um forward do firewall que esta ligado diretamente no speedy.... entendeu??

[] Dotta :twisted:

Citação:

---

Postado originalmente por Anonymous

cara agora vc me confundiu, vc nao tem acesso ao roteador q esta ligado o speedy?
FW = firewall
esse roteador q esta ligado o speedy tem q direcionar diretamente ao apache

---

uhahuauhauhahuuhahua.....calmae...acho q nao estamos falando a msm ligua......olha.....o bagulho ta assim

Código :

---

{INTERNET}----[FIREWALL]----<RADIO>----[ROTEADOR]----[APACHE]

---

ou seja.....eu sou cliente de um servico de internet a radio.....dai eu preciso redirecionar a porta 80 (q esta vindo do firewall para o meu roteador) pro apache, soh que nao posso perder a fonte do IP (q no log do apache q fica no roteador eu ja vi estar certo) para o ip da minha maquina (o apache)

entenderam agora ou eu compliquei mais ainda???? :lol:

pergunta: este firewall e roteador são seus???

[] Dotta :twisted:

roteador: sim
firewall: nao


o roteador na verdade eh um P100 na minha casa... :D

mas vc nao usa o speedy... ele nao tem firewall ate onde eu sei... agora no seu roteador (firewall) vc deve colocar a regra de FORWARD para seu apache... e o radio entra aonde... vc tem um radio em sua casa???

nao existe a possibilidade de vc colocar o apache no roteador???

[] Dotta :twisted:

nao....num existem nenhuma possibilidade de eu fazer isso....ateh pq eu to fazendo isso em casa ja pensando em migrar algo parecido la pro trabalho....

bom....eu acho q vc ainda nao entendeu....toda a rede envolve 3 maquinas e o speedy.....ou seja.....existem 2 roteadores na rede....um do servico de internet a radio, e outro q ta aki do meu lado, sendo q eu soh tenho acesso a esse q ta aki do meu lado...porem......eu nao sei como, no roteador q eu nao tenho acesso, ele ta fazendo um nat bunitinho, aonde ele repassa o ip pra mim corretamente.....ou seja....ele consegue fazer o q eu to tentando fazer.....sacow agora qual eh a jogada???

+/- .... vc me confundio... vc tem internet via radio e speedy??? é isso ??? no caso de muitos provedores eles fazem o nat 1:1, com no artigo q lhe mandei... geralmente isso funciona...

[] Dotta :twisted:

esse firewall consegue alcancar o apache certo?
eh o firewall q vc tem acesso ele faz um DNAT pro apache certo?
agora a duvida eh a seguinte esse link q vc se refere seria um link radio para uso de VPN, consequentemente nao sendo utilizado para acesso internet e assim concluimos q as conexao ao apache vem pelo speedy ou seria o inverso? o speedy tem outra utilidade e o acesso vem via o link de radio q acredito q seja o caso, se sim, a sua situacao eh ruim, pelo seguinte, vc nao vai conseguir alterar a forma como os pacotes sao tratatos na camada "real" sendo q vc ja esta recebendo pacotes NATeados no firewall seu firewall so enxerga uma maquina na internet, o roteador, sendo assim amigo ou vc hackea o roteador ou se contente em ver apenas um acesso no seu apache, mas por desencargo de conciencia, esse roteador eh o seu firewall estao na mesma estrutura FISICA juntamente com o speedy eo apache???

felco