Iptables Prerouting Dúvida

[osney]

Galera, blz.

Preciso de um Help sobre Prerouting no iptables.

Gostaria de saber se é possivel um fazer um prerouting para mais de uma máquina, ou seja, ex.

PREROUTNG -i eth0 --dport 5500 -j DNAT --to IP1 e IP2

Será que alguém sabe me ajudar nesse caso, pois sei que se eu colocar IP1-IP2 funciona só que é de IP1 até IP2 e eu só quero ex. 192.168.0.50 e 192.168.0.52

Obrigado.

[tianguapontocom]

mas vc quer pra todos os ip ou quer so pra alguns ip especificos?

[osney]

só para alguns ips específicos... na verdade dois...

[xstefanox]

Tu não acha que tá faltando alguma coisa nessa regra aí?

Como que eu vou redirecionar todas as conexões à dois hosts? Não tem jeito... tu tem que controlar pelo IP de origem, coisa assim... Mas o modo certo de se fazer é abrir duas portas no gateway, por exemplo, 9000 e 9001. As conexões com destino à porta 9000 são redirecionadas para a porta 5500 do IP1 e as com destino à 9001 são redirecionadas para o IP2, porta 5500. Na prática ficaria assim:

# iptables -t nat -A PREROUTING -p TCP --dport 9000 -j DNAT --to 192.168.0.50:5500
# iptables -t nat -A PREROUTING -p UDP --dport 9000 -j DNAT --to 192.168.0.50:5500
# iptables -t nat -A PREROUTING -p TCP --dport 9001 -j DNAT --to 192.168.0.52:5500
# iptables -t nat -A PREROUTING -p UDP --dport 9001 -j DNAT --to 192.168.0.52:5500

Abraços!

[osney]

Na verdade a regra está completa eu só abreviei para colocar aqui..

No Prerouting se vc colocar DNAT --to 192.168.0.2-192.168.0.10 ele vai repetir o mesmo pacote para máquina final 2 até final 10. (um range).

Eu quero só para duas máquinas ex. 192.168.0.2 e 192.168.0.5 e naum um range..

[xstefanox]

Na verdade a regra está completa eu só abreviei para colocar aqui..

No Prerouting se vc colocar DNAT --to 192.168.0.2-192.168.0.10 ele vai repetir o mesmo pacote para máquina final 2 até final 10. (um range).

Eu quero só para duas máquinas ex. 192.168.0.2 e 192.168.0.5 e naum um range..

Eu digo que estava faltando algo porque não dá pra você redirecionar uma conexão só para dois IP's. Por isso que eu joguei quatro regras. Duas pro primeiro IP e duas pro segundo.

E quem falou sobre ranges, amigo?

[mhp]

Galera, blz.

Preciso de um Help sobre Prerouting no iptables.

Gostaria de saber se é possivel um fazer um prerouting para mais de uma máquina, ou seja, ex.

PREROUTNG -i eth0 --dport 5500 -j DNAT --to IP1 e IP2

Será que alguém sabe me ajudar nesse caso, pois sei que se eu colocar IP1-IP2 funciona só que é de IP1 até IP2 e eu só quero ex. 192.168.0.50 e 192.168.0.52

Obrigado.

Coloque esta regra:

IPTABLES -t nat -A PREROUTING -i eth0 --dport 5500 -j DNAT --to IP1 --to IP2

Isso faz um balanceamento de carga round-robin simples (um ciclo após o outro).

[RafaelMonteiro]

??????????????????????

[mhp]

Para entender o que é o balanceamento de carga round-robin simples veja abaixo:

Suponhamos a seguinte regra:

IPTABLES -t nat -A PREROUTING -i eth0 --dport 5500 -j DNAT --to IP1 --to IP2

Ela significa que uma primeira conexão com destino à porta 5500 é redirecionada para o IP1. A próxima conexão que for iniciada nesta mesma porta vai para o IP2, uma terceira conexão sai pelo IP1 novamente, a quarta pelo IP2, e assim sucessivamente.
Se fizer a regra assim:

IPTABLES -t nat -A PREROUTING -i eth0 --dport 5500 -j DNAT --to IP1-IP9

vai acontecer a mesma coisa, só que fazendo o ciclo a partir do IP1 até o IP9.

[xstefanox]

Cara... ele não quer balanceamento de carga, hehehe.

[mhp]

Peço desculpas, mas foi o que eu entendi. A questão postada por osney, que iniciou este tópico, e o exemplo que ele postou, estão meio inespecíficos.

[xstefanox]

Hehehehe... é, realmente, várias vezes a gente lê mensagens e não sabe muito bem o quê querem dizer com elas, mas o quê eu presumo que seja a situação dele é que ele precise acessar o mesmo serviço em máquinas diferentes em uma rede interna, de IP's inválidos na internet, especificando quando é uma máquina ou outra... mas a sua idéia é muito boa também. =)

[osney]

obrigado galera eu entendi, mais ou menos, como funciona...

eu achei que eu conseguiria mandar o mesmo pacote para duas máquinas na minha rede, usando o prerouting...

[mhp]

Não tem jeito de enviar o mesmo pacote para mais de um host, pois o próprio cabeçalho do pacote já determina o rementente e o destinatário. De qualquer modo seria contraproducente, porque o remetente teria que escolher entre as várias respostas que vai receber. O contrário é possível, ou seja, varios hosts capturarem um mesmo pacote, acho que o multicast funciona assim, mas não conheço o protocolo.