Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Linux (http://netadmin.ws/forum/forumdisplay.php?forumid=13)
-- подскажите по iptables (http://netadmin.ws/forum/showthread.php?threadid=11918)

подскажите по iptables

второй день уже копаюсь, никак не могу решить проблему в локалке..
ДАНО:
сервер(ASPLinux 7.3, iptables, три IP-адреса на нём:172.xx.xx.40;172.xx.xx.45;172.xx.xx.31 висят на одной сетевухе).

НУЖНО:через iptables завернуть всех кто лезет на порт:фтп по адресам 172.xx.xx.40;172.xx.xx.45 на другой сервер с адресом 172.xx.xx.111

пишу
iptables -t nat -A PREROUTING -p tcp -d 172.xx.xx.40 --dport 21 -j DNAT --to-destination 172.xx.xx.111
iptables -t nat -A POSTROUTING -p tcp --dst 172.xx.xx.40 --dport 21 -j SNAT --to-source 172.xx.xx.111
и
iptables -t nat -A PREROUTING -p tcp -d 172.xx.xx.45 --dport 21 -j DNAT --to-destination 172.xx.xx.111
iptables -t nat -A POSTROUTING -p tcp --dst 172.xx.xx.45 --dport 21 -j SNAT --to-source 172.xx.xx.111
-----
вот
tcpdump-ом вижу редирект, но конекта не получаю...что-то я забыл сделать, НО что...

__________________
Тише едешь, дальше будешь!

разреши форвард

revlis добавил 27-07-2006 в 23:41:30:
а во вторых в зависимости от типа фтп нужно еще порты пробросить

quote:

---

Первоначальное сообщение от revlis
разреши форвард

revlis добавил 27-07-2006 в 23:41:30:
а во вторых в зависимости от типа фтп нужно еще порты пробросить

---

__________________
Тише едешь, дальше будешь!

Я имел в виду цепочку правил FORWARD в iptables

revlis добавил 28-07-2006 в 09:08:21:
ты пробрасываешь 1 порт а у фтп бывает активный и пассивный и все зависит от того какой установлен в твоем случае

победил я это дело всё-таки
надо так
ДАНО:
сервер(ASPLinux 7.3, iptables, три IP-адреса на нём:172.xx.xx.40;172.xx.xx.45;172.xx.xx.31 висят на одной сетевухе).

НУЖНО:через iptables завернуть всех кто лезет на порт:фтп по адресам 172.xx.xx.40;172.xx.xx.45 на другой сервер с адресом 172.xx.xx.111
пишем правила:
iptables -t nat -A PREROUTING -p tcp -d 172.xx.xx.40 --dport 21 -j DNAT --to-destination 172.xx.xx.111
iptables -t nat -A POSTROUTING -p tcp --dst 172.xx.xx.40 --dport 21 -j SNAT --to-source 172.xx.xx.111
и
iptables -t nat -A PREROUTING -p tcp -d 172.xx.xx.45 --dport 21 -j DNAT --to-destination 172.xx.xx.111
iptables -t nat -A POSTROUTING -p tcp --dst 172.xx.xx.45 --dport 21 -j SNAT --to-source 172.xx.xx.111
потом
/etc/sysctl.conf
#ставим
net.ipv4.ip_forward = 1
и в
/proc/sys/net/ipv4/ip_forward ставим 1
дальше
#подгружаю модули

modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
ВСё работает.
но чтобы автоматически модули грузились надо:
/etc/sysconfig/iptables-config:
# Load additional iptables modules (nat helpers)
# Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modules.conf.
IPTABLES_MODULES="ip_nat_ftp"

Достаточно прописать ip_nat_ftp. Модуль ip_conntrack_ftp загрузиться автоматически.



---- P.S. ----
Одно неудобно, на сервере 172.xx.xx.111 в логах невидно реального адреса пользователя зашедшего на фтп, стоит адрес либо 172.xx.xx.45; либо 172.xx.xx.40

__________________
Тише едешь, дальше будешь!