Iptables firewall hjelp!

[BaLoO-]

Problemstilling:

Vil at alle webrequest eller alle oppslag på port 80 ut mot nett skal bli vidreført til webserveren som er på GW'en, evt. en lokal webserver.

Driver å skriver et iptables script med finner ikke noe løsning for akkurat dette problemet, så har noen kunne hjelpet meg så har det vært fint. =)

 

Sett litt på denne men etter hva jeg forstår så vil den fortsatt ikke resolve den lokale webservern men vil gå ut på nett. eller?

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports XXXX

 

 

Noen som vet?

 

 

MVH

BaLoO

[femfulle]

Ei stund sidan eg sist brukte iptables, men du må kanskje spesifisere ip? Er litt usikker på dette sidan du redirektar til samme IP, men det er kanskje vært eit forsøk.

Har du noko feilmld. eller lignande å spytte ut?

[BaLoO-]

hmmz, ja..

sitter å leser, får ikke til å teste det nå, må vente til jeg kommer hjem.

Sitter på jobb

 

Hva med dette?

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to ip:port
evt.
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to 127.0.0.1:port

 

MVH

BaLoO

[objorkum]

Om du har Webmin på boksen med iptables har den ein super firewall-modul.

[Terrasque]

http://www.linuxguiden.no/index.php/Netfilter

[BaLoO-]

Bruker ikke webmin, alt for usikkert og passer ikke i systeme jeg skal ha det til.

Og ja jeg har lest den guiden på linuxguiden.no og nei det står ikke der hvordan jeg løser problemet mitt. :-(

 

Noen andre med noen bedre forslag, som faktisk er forslag til problemstillinga? =)

 

 

mvh

BaLoO

[franksun]

Ja.

 

Transparent proxy i iptables.

[BaLoO-]

Er jo dette jeg prøve å få til hvis du har lest innelgget, spørsmålet er hvordan, og hvilken/hvilke komandoer i iptables man kan/skal bruke for å få till akkurat dette.

 

mvh

BaLoO

[Terrasque]

http://www.linuxguiden.no/index.php/Netfilter#REDIRECT

 

REDIRECT brukes når en vil omdirigere trafikk som kommer inn på en port til en annen port. Typisk i forbindelse med oppsett av gjennomsiktig mellomtjener eller at tjenester kjøres på ikke-standard porter. Eksempel:

 

# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

Se også http://www.linuxguiden.no/index.php/Squid#...ig_mellomtjener

 

 

http://www.linuxguiden.no/index.php/Netfilter#DNAT

 

 

DNAT

 

«DNAT» står for «Destination Network Address Translation», og brukes dersom vi vil forandre mottageradressen til en pakke. I de fleste tilfeller gjøres dette for å sende all trafikk som kommer inn til en brannmur eller gateway videre til en maskin på et internt nettverk som ikke kan nåes fra internett. «DNAT» må utføres i «nat»-tabellens «PREROUTING»-kjede.

 

I tillegg til å skrive om mottageradressen og sende pakken videre til en maskin, vil DNAT-mekanismen også sørge for å fjerne informasjonen om at pakken ble DNATet når svaret skal sendes tilbake til den opprinnelige avsenderen.

 

Målet som brukes er -j DNAT, og tar som opsjon --to-destination (kortform --to med parameter som er IP-adressen til maskinen som skal motta pakken. Eksempel:

 

# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.1.2

 

Her sender vi all trafikk som kommer til tcp port 21 videre til maskinen som har IP 192.168.1.2. Vi kan også spesifisere en port som pakken skal sendes videre til:

 

# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.1.2:121

 

Til slutt viser vi hvordan vi kan sende en pakke videre til flere maskiner:

 

# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.1.2-192.168.1.10

 

Her sendes pakken videre til en av maskinene fra 192.168.1.2 til 192.168.1.10, i tilfeldig mønster.

[BaLoO-]

ja? altså om man redirekter det fra port 80 til en anna port så vil jo fortsatt ikke trafikken gå til den lokale webservern på den porten, den vil jo fortsatt gå "ut på nett"?

Jeg skal gjøre slik at ALL webtrafikk skal pekes mot en webserver som ligger på GW'en så de kommer dit uansett hvilken adresse/ip eller uansett hva de prøver å få opp.

 

Kan evt gjøre det med dnat, men skal teste det når jeg kommer hjem i dag, skal svare på om det funker senere

 

 

mvh

BaLoO

[BaLoO-]

Har prøvd både:

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
og
iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.1.2:121

Men ingen av de gir meg den løsningen jeg vil ha. :-(

 

Noen som har noen andre forslag?

 

mvh

BaLoO

[olear]

Har prøvd både:

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
og
iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.1.2:121

Men ingen av de gir meg den løsningen jeg vil ha. :-(

 

Noen som har noen andre forslag?

 

mvh

BaLoO

Hvilken løsning vil du ha da?

 

Gir ikke denne koden deg det du vil ha?

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to IP_addresse_til_webserver

[BaLoO-]

Som jeg skriver lengere opp er tingen at jeg skal gjøre slik at når en person på innsiden (LAN) prøver å gå på nett med en browser og prøver å komme seg til vilkensomhelst side, så blir han vidreført til en lokal webserver som enten er en annen server eller er på samma box som GW'en, helst det siste.

 

 

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to P_addresse_til_webserver

Gjør jo bare trafikken INN til boxen går til den ip'en? eller er jeg helt på jorde nå?

Mener jeg testa det i går å at det ikke funket, men kan jo være jeg har gjort noe galt å da.. :-/

 

mvh

BaLoO

[olear]

Gjør jo bare trafikken INN til boxen går til den ip'en? eller er jeg helt på jorde nå?

Du har helt rett, jeg trodde vi snakket om trafikk inn.

Endret 26. mai 2005 av olear

[inaktiv000]

Lenge siden jeg har holdt på med iptables (og Linux generelt), men jeg mener at det er forskjellige ord som brukes for å redirecte lokalt, og å redirecte til en annen IP. Hva er det du ønsker å få til - transparent proxy eller at alle webforespørsler vil bli sendt til en annen server? (Dersom det siste er tilfellet, må du konfigurere serveren til å godta alle URLs, så vidt jeg husker).

[BaLoO-]

Vet ikke hvordan jeg får til akkurat det jeg tenker på da?

Står litt fast... :-/

 

mvh

BaLoO

[inaktiv000]

Så hvis bruker ønsker å gå til www.vg.no, skal han istedet bli sendt til en lokal server? En annen server mao? Hvis du forteller hensikten, er det kanskje lettere å hjelpe deg.

[Terrasque]

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

 

Jeg er ganske så sikker på at det er slik jeg har gjort det når jeg har brukt squid transparent proxy.

 

Så spørsmålet er, hva er det du gjør siden det ikke virker? Prøver du på noe annet enn det vi har tolket at du prøver på?

 

Kanskje du kan forklare punkt for punkt hva du gjør, hva som skjer, og hva du vil skal skje?