Redirecionamento de portas na REDE INTERNA não funciona

Olá galera,

Estou com um problema aqui....
Estou tentando redirecionar tudo que chegar pela porta 22 do firewall, que seja redirecionado para outro servidor que tenho internamente, só que o que chega externamente recireciona, mas tudo interno não redireciona, meu firewall está da seguinte forma:


eth1 - externo
eth0 - interno
iptables -F
iptables -t nat -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT - PARA REPASSAR TODOS PACOTES
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT - LIBERANDO MINHA REDE INTERNA PARA ENTRAR NO FIREWALL seja por quel por for
iptables -A OUTPUT -o lo -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

iptables -t nat -A PREROUTING -p tcp --dport 22 -j DNAT --to 192.168.1.2 = com esta regra deveria estar liberado para interno e externo, mas só libera para quem tenta acessar de fora da rede, para quem está dentro não redireciona.

Se alguem puder me ajudar, agradeço.

Abraços....

--to-destination

Meu, eu coloquei também, antes de postar aqui fiz vários testes, incluisive com o --to-destination 192.168.1.2 por isto creio que não seja este o problema.

iptables -t nat -A PREROUTING -p tcp -d 200.000.000.0 --dport 22 -j DNAT --to 192.168.1.2


testa isso ai

flow

mesma coisa, SE EU NÃO COLOCO A REGRA, eu acesso no servidor firewall normal, ao por a regra para redirecionar, ele fica tentando conectar e não conecta nem no firewall mais, por isso acho que o redirecionamento está faltando alguma coisa, e como passassei também, quando a conexão é pela internet, ou seja de fora faz o redirecionamento normalmente com a regra que tenho e passei.

iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 22 -j DNAT --to 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 22 -j DNAT --to 192.168.1.2

tenta forcar as interface e coloca todas elas deste jeito ai
e posta ai pra ve se funciono okk
floww

iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 22 -j DNAT --to 192.168.1.2
iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 22 -j DNAT --to 192.168.1.2

tenta forcar as interface e coloca todas elas deste jeito ai
e posta ai pra ve se funciono okk
floww

cara...

quantas placas de rede o servidor tem?

qual é da internet, qual é da rede interna, qual é pra DMZ???

Cara, não funcionou, tenta conectar da um tempo e cai a conexão,
eu tenho 2 eth0 interna e eth1 externa, mesmo assim não acessa.
Eu tiro e acessa o servidor, mas sem redirecionar para o servidor que desejo.
E como disse de fora, externo faz o redirecionamento para o servidor.

Ta meio maluco a coisa...

cara..

faz o mascaramento da eth da rede interna e testa

Mascarei, veja ai;

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -I PREROUTING -p tcp --dport 22 -j DNAT --to 192.168.0.2

Mesmo assim fica tentando acessar para redirecionar e nada,

este servidor q vc está fazendo estas regras tem o serviço ssh??

Tem sim, inclusive como eu passei, se eu tirar a regra de redirecionamento, eu acesso ele, mas é por ele não faz o redirecionamento e também não acessa ele próprio.

cara..

pra tentar encontrar uma solução para este problema, fiz alguns testes aqui e também não consegui com o iptables...

fiz da seguinte forma:
Obs. alterei a porta de target do firewall para 222 e no servidor que quero acessar continuará 22

ip da rede interna: 10.0.0.0/24
ip do firewall: 10.0.0.254
ip do servidor que quero acessar pelo ssh: 10.0.0.20
if rede interna: eth0

Citação:

---

$IPT -t nat -A PREROUTING -s 10.0.0.0/24 -i eth0 -d 10.0.0.254/32 -p tcp --dport 222 -j DNAT --to 10.0.0.20:22
$IPT -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
$IPT -t filter -A INPUT -s 10.0.0.0/24 -d 10.0.0.254/32 -p tcp --dport 222 -j ACCEPT
$IPT -t filter -A FORWARD -i eth0 -o eth0 -s 10.0.0.0/24 -d 10.0.0.20/32 -j ACCEPT

---

com estas regras o redirecionamento não funcionou, mas com as regras abaixo é para funcionar:
obs. neste caso o target do servidor é a porta 22, para usar a porta 222 é preciso fazer uma regra de redirecionamento no servidor que se deseja acessar.

Citação:

---

#$IPT -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 3
#ip rule add fwmark 3 table 2
#ip route add default via 10.0.0.20 dev eth0 table 2

---

exemplo da regra de redirecionamento (a mesma usada para o squid)

Citação:

---

# iptables -t nat -A PREROUTING -p tcp --dport 222 -j REDIRECT --to-port 22

---

mas agora fiquei encabulado e quero saber como resolver isso somente com o iptables...

valeu

cara...

descobri o problema...

é navalhice no script de firewall...

limpei as regras aqui e apliquei somente as regras para redirecionamento e funcionou belezudo...

agora estou procurando onde está o erro no script pra resolver... :/

valeu

cara...

resolvi o problema aqui, vamos ver se vc consegue resolver aí

aqui tenho como política padrão drop no input e forward, accept no output

onde:
ip da rede interna: 10.0.0.0/24
ip do firewall: 10.0.0.254
ip do servidor que quero acessar pelo ssh: 10.0.0.20
if rede interna: eth0

Citação:

---

$IPT -t nat -A PREROUTING -s 10.0.0.0/24 -i eth0 -d 10.0.0.254/32 -p tcp --dport 222 -j DNAT --to 10.0.0.20:22
$IPT -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
$IPT -t filter -A INPUT -s 10.0.0.0/24 -d 10.0.0.254/32 -p tcp --dport 222 -j ACCEPT
$IPT -t filter -A FORWARD -s 10.0.0.0/24 -d 10.0.0.20/32 -p tcp -m tcp --dport 22 -j ACCEPT
$IPT -t filter -A FORWARD -s 10.0.0.20/32 -d 10.0.0.0/24 -p tcp -m tcp --sport 22 -j ACCEPT

---

valeu
[]'s

Cara, eu devo estar com algum problema de roteamento, porque antes de você passar essas regras, eu habia zerado e deixado tudo aberto e só acrescentei o redirecionamento e também não funcionou, e agora coloquei as regras que você passou e também não acessou, incrível.....
Troquei até o kernel, voltei para o default 2.4.31 achando que pudesse ser alguma coisa, algum módulo que não estava carregando, mas acontece a mesma coisa.
Fiquei monitorando os logs no firewall para ver se deva alguma mensagem ao tentar conectar, nem isto aparece.
Tirei também as rotas do firewall, deixei só o basico e também nada.

cara...

é algo de errado q não está certo com seu firewall..

talvez uma regra esteje bloqueando isso

mas eu zerei e liberei tudo e coloquei a regra de redirecionamento, não ficou mais regras

cabra...

as regras abaixo não tem nenhum tipo de bloqueio, é pra funcionar belezudo...

tem também o redirecionamento para o proxy..

Citação:

---

#!/bin/bash

IPT=/usr/local/sbin/iptables
INT=eth0
EXT=eth1

# Limpando Regras antigas
$IPT -t nat -F
$IPT -t filter -F
$IPT -t mangle -F
$IPT -t nat -X
$IPT -t filter -X
$IPT -t mangle -X

# Definicao de regras padrão
#$IPT -P INPUT DROP
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT

$IPT -t nat -A PREROUTING -s 10.0.0.0/32 -i $INT -d 0/0 -p tcp --dport 80 -j REDIRECT --to-port 3128

$IPT -t nat -A POSTROUTING -o $EXT -j MASQUERADE

$IPT -t nat -A PREROUTING -s 10.0.0.0/24 -d 10.0.0.254/32 -p tcp --dport 222 -j DNAT --to 10.0.0.20:22
$IPT -t nat -A POSTROUTING -o eth0 -j MASQUERADE

---

com estas regras que eu descobri q era navalhice no script de firewall...

valeu

Cara, funcionou mesmo...
Fiz até com a mesma porta e não teve erro, testando aqui o problema estava no
$IPT -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Eu tirei ele para testar e não acessou mais;

Valeu mesmo pela força;
Obrigado

q bom q resolveu...

qualquer coisa, tamos ae

valeu