The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

форумы  правила/FAQ  поиск  регистрация  вход/выход  слежка  RSS
"Проброс порта 3389 во внутреннюю сеть"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Информационная безопасность (Linux iptables, ipchains)
Изначальное сообщение [ Отслеживать ]

"Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от gremlintv32 (ok) on 07-Фев-17, 11:42 
Исходные данные: есть openvpn шлюз на linux с интрефейсами:
eth0 - смотрит в локалку 192.168.1.0/24
tun0 - смотрит в vpn сеть - 10.0.0.0/30
Задача:
Нужно, чтобы отбрасывались все пакеты, кроме тех, которые:
а) приходят по порту 22 с ip 192.168.1.100;
б) приходят по порту 1194 с ip 192.168.1.1;
в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на адрес 192.168.1.100;

Правильно ли прописаны следующие правила:
а) iptables -A INPUT ! -s 192.168.1.100 -p tcp --dport 22 -j DROP
б) iptables -A INPUT ! -s 192.168.1.1 -p tcp --dport 1194 -j DROP
в) iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j DNAT \ --to-destination 192.168.1.100:3389

  


Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по ответам | RSS]

1. "Проброс порта 3389 во внутреннюю сеть"  +1 +/
Сообщение от PavelR (??) on 07-Фев-17, 12:55 
Всего лишь нужно использовать /двойное/ отрицание - и можно полностью сломать мозг.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от gremlintv32 (ok) on 07-Фев-17, 15:29 
> Всего лишь нужно использовать /двойное/ отрицание - и можно полностью сломать мозг.

Что посоветуете? Нужно всего лишь по закрывать все лишнее + настроить nat на одном порту(3389) для сети openvpn:
192.168.1.1(шлюз)->192.168.1.200(openvpn srv) <- открыт только порт 1194 для 192.168.1.1
192.168.1.100(win)->192.168.1.200(openvpn srv) <- открыт только порт 22 для 192.168.1.100
10.0.0.6(openvpn client)->10.0.0.1(openvpn server)->192.168.1.100(win rdp) <- проброс порта 3389 на 192.168.1.100 все остальное закрыто

  


Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от PavelR (??) on 07-Фев-17, 16:07 
> Исходные данные: есть openvpn шлюз на linux с интрефейсами:
> eth0 - смотрит в локалку 192.168.1.0/24
> tun0 - смотрит в vpn сеть - 10.0.0.0/30
> Задача:
> Нужно, чтобы отбрасывались все пакеты, кроме тех, которые:
> а) приходят по порту 22 с ip 192.168.1.100;
> б) приходят по порту 1194 с ip 192.168.1.1;
> в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на
> адрес 192.168.1.100;

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT

iptables -A INPUT -j DROP или iptables -P INPUT DROP

Также не забываем про FORWARD т.к. в постановке задачи не говорится про то, что делать с транзитными пакетами.
Не забываем про -m state и  разрешение всего остального, что еще может быть необходимым (например DNS-ответы).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от gremlintv32 (ok) on 07-Фев-17, 16:11 
>[оверквотинг удален]
>> б) приходят по порту 1194 с ip 192.168.1.1;
>> в) пакеты, которые приходят на интерфейс tun0 по порту 3389 перенаправлялись на
>> адрес 192.168.1.100;
> iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
> iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT
> iptables -A INPUT -j DROP или iptables -P INPUT DROP
> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
> то, что делать с транзитными пакетами.
> Не забываем про -m state и  разрешение всего остального, что еще
> может быть необходимым (например DNS-ответы).

Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
А как быть с пробросом 3389?
Такое правило будет работать:
iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j DNAT \ --to-destination 192.168.1.100:3389
?

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от reader (ok) on 07-Фев-17, 17:19 
>[оверквотинг удален]
>> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
>> то, что делать с транзитными пакетами.
>> Не забываем про -m state и  разрешение всего остального, что еще
>> может быть необходимым (например DNS-ответы).
> Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
> А как быть с пробросом 3389?
> Такое правило будет работать:
> iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 3389 -j
> DNAT \ --to-destination 192.168.1.100:3389
> ?

эти пакеты пойдут через FORWARD , разрешайте прохождение этих пакетов там

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от PavelR (??) on 07-Фев-17, 18:59 
>[оверквотинг удален]
>> iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
>> iptables -A INPUT -p tcp --dport 1194 -s 192.168.1.1 -j ACCEPT
>> iptables -A INPUT -j DROP или iptables -P INPUT DROP
>> Также не забываем про FORWARD т.к. в постановке задачи не говорится про
>> то, что делать с транзитными пакетами.
>> Не забываем про -m state и  разрешение всего остального, что еще
>> может быть необходимым (например DNS-ответы).
> Спасибо! FORWARD тоже блокируются в сети 192.168.1.0/24
> А как быть с пробросом 3389?
> Такое правило будет работать:

Правило будет работать так, как оно написано. Достигнете ли вы того, чего хотите - не известно, т.к. правила "поштучно" не работают, а работает вся кофигурация в целом.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Проброс порта 3389 во внутреннюю сеть"  +/
Сообщение от None (??) on 18-Авг-17, 11:06 
многие недоадмины любяь пробрасывать 3389, потом удивляются, что их поломали

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2017 by Maxim Chirkov  
ДобавитьРекламаВебмастеруГИД  
Hosting by Ihor