URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 92962
[ Назад ]

Исходное сообщение
"не открывается порт"

Отправлено ramzes3000 , 31-Янв-12 15:08 
Здравствуйте.

Нужно пробросить порт(ы) в локалку

что сделано:
#iptables -t nat -A PREROUTING --dst 212.90.183.186 -p tcp --dport 1720 -j DNAT --to-destination 192.168.0.251

#iptables -A INPUT -i eth2 -d 212.90.183.186 -p TCP --dport 1720 -j ACCEPT

#iptables -t nat -A PREROUTING -p tcp -d 212.90.183.186 --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
#iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.251 --dport 1720 -j SNAT --to-source 212.90.183.186

проверял порт на открытие http://speed-tester.info/check_port.php   - порт закрыт.

что делать?
инструкцияю https://www.opennet.ru/docs/RUS/iptables/#DNATTARGET читал



Содержание

Сообщения в этом обсуждении
"не открывается порт"
Отправлено Andrey Mitrofanov , 31-Янв-12 16:05 
> Нужно пробросить порт(ы) в локалку

У ття ошибка в заклинании. Побей метлой того, кто тебе негодное продал!

> проверял порт на открытие http://speed-tester.info/check_port.php   - порт закрыт.
> что делать?

Учиться, а то в жабу превратишься не ровен час.
https://www.opennet.ru/openforum/vsluhforumID10/3736.html#2


"не открывается порт"
Отправлено vlb267 , 31-Янв-12 16:07 
>> Нужно пробросить порт(ы) в локалку

А что на этом порту запущено ?


"не открывается порт"
Отправлено ramzes3000 , 31-Янв-12 17:13 
>>> Нужно пробросить порт(ы) в локалку
>  А что на этом порту запущено ?

будет ip телефония.
1720 и др. порт на IP плате АТС


"не открывается порт"
Отправлено demon , 31-Янв-12 17:41 
Вот этого более чем достаточно:

iptables -t nat -A PREROUTING -p tcp -d 212.90.183.186 --dport 1720 -j DNAT --to-destination 192.168.0.251:1720

Что-то еще блокирует траффик, "по фотографии" сложно вылечить.
Давай уж тогда все правила во всех цепочках


"не открывается порт"
Отправлено ramzes3000 , 31-Янв-12 17:49 
> Вот этого более чем достаточно:
> iptables -t nat -A PREROUTING -p tcp -d 212.90.183.186 --dport 1720 -j
> DNAT --to-destination 192.168.0.251:1720
> Что-то еще блокирует траффик, "по фотографии" сложно вылечить.
> Давай уж тогда все правила во всех цепочках

iptables-save
# Generated by iptables-save v1.4.8 on Tue Jan 31 16:49:46 2012
*nat
:PREROUTING ACCEPT [2078:199863]
:POSTROUTING ACCEPT [64:3228]
:OUTPUT ACCEPT [1092:70582]
-A PREROUTING -i vlan107 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan71 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o eth2 -j SNAT --to-source 212.90.183.186
COMMIT
# Completed on Tue Jan 31 16:49:46 2012
# Generated by iptables-save v1.4.8 on Tue Jan 31 16:49:46 2012
*mangle
:PREROUTING ACCEPT [59945:27112606]
:INPUT ACCEPT [30074:16735521]
:FORWARD ACCEPT [29871:10377085]
:OUTPUT ACCEPT [37791:30473377]
:POSTROUTING ACCEPT [67664:40850618]
COMMIT
# Completed on Tue Jan 31 16:49:46 2012
# Generated by iptables-save v1.4.8 on Tue Jan 31 16:49:46 2012
*filter
:INPUT DROP [380:38376]
:FORWARD ACCEPT [29871:10377085]
:OUTPUT ACCEPT [37795:30478809]
-A INPUT ! -i eth2 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 113 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 1720 --dport 1720 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 25 --dport 25 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 110 --dport 110 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143 -j ACCEPT
COMMIT


"не открывается порт"
Отправлено ramzes3000 , 01-Фев-12 10:58 
> Вот этого более чем достаточно:
> iptables -t nat -A PREROUTING -p tcp -d 212.90.183.186 --dport 1720 -j
> DNAT --to-destination 192.168.0.251:1720
> Что-то еще блокирует траффик, "по фотографии" сложно вылечить.
> Давай уж тогда все правила во всех цепочках

*nat
:PREROUTING ACCEPT [169:14309]
:POSTROUTING ACCEPT [1:48]
:OUTPUT ACCEPT [51:3434]
-A PREROUTING -i vlan107 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan71 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 212.90.183.186/32 -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
-A POSTROUTING -o eth2 -j SNAT --to-source 212.90.183.186
COMMIT
# Completed on Wed Feb  1 09:57:10 2012
# Generated by iptables-save v1.4.8 on Wed Feb  1 09:57:10 2012
*mangle
:PREROUTING ACCEPT [20576115:20298570089]
:INPUT ACCEPT [8207862:8122518730]
:FORWARD ACCEPT [12367434:12175989266]
:OUTPUT ACCEPT [10579776:9089483679]
:POSTROUTING ACCEPT [22948216:21265654893]
COMMIT
# Completed on Wed Feb  1 09:57:10 2012
# Generated by iptables-save v1.4.8 on Wed Feb  1 09:57:10 2012
*filter
:INPUT DROP [119283:11417459]
:FORWARD ACCEPT [12367434:12175989266]
:OUTPUT ACCEPT [10579776:9089483679]
-A INPUT ! -i eth2 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 113 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 1720 --dport 1720 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 25 --dport 25 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 110 --dport 110 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143 -j ACCEPT
-A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588 -j ACCEPT
-A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096 -j ACCEPT
COMMIT

Спасибо, товарищи. Порт открылся. Не понял почему раньше правило не хотело приниматься. Провтыкал наверное. Утро вечера мудренее. Пришел - получилось.


"не открывается порт"
Отправлено ramzes3000 , 01-Фев-12 12:35 
>[оверквотинг удален]
> -j ACCEPT
> -A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096
> -j ACCEPT
> COMMIT
> Спасибо, товарищи. Порт открылся. Не понял почему раньше правило не хотело приниматься.
> Провтыкал наверное. Утро вечера мудренее. Пришел - получилось.

порт 5588 закрыт, что за фигня? помогите

*nat
:PREROUTING ACCEPT [60:6848]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [22:1336]
-A PREROUTING -i vlan107 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan71 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 212.90.183.186/32 -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
-A PREROUTING -d 212.90.183.186/32 -p tcp -m tcp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
-A PREROUTING -d 212.90.183.186/32 -p udp -m udp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
-A POSTROUTING -o eth2 -j SNAT --to-source 212.90.183.186
COMMIT
# Completed on Wed Feb  1 11:35:58 2012
# Generated by iptables-save v1.4.8 on Wed Feb  1 11:35:58 2012
*mangle
:PREROUTING ACCEPT [226394:199814400]
:INPUT ACCEPT [183043:179323939]
:FORWARD ACCEPT [43343:20490008]
:OUTPUT ACCEPT [238743:198857236]
:POSTROUTING ACCEPT [282098:219349503]
COMMIT
# Completed on Wed Feb  1 11:35:58 2012
# Generated by iptables-save v1.4.8 on Wed Feb  1 11:35:58 2012
*filter
:INPUT DROP [1360:116567]
:FORWARD ACCEPT [43343:20490008]
:OUTPUT ACCEPT [238743:198857236]
-A INPUT ! -i eth2 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 113 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 1720 --dport 1720 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 25 --dport 25 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 110 --dport 110 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143 -j ACCEPT
-A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588 -j ACCEPT
-A INPUT -i eth2 -p tcp -m tcp --sport 5588 --dport 5588 -j ACCEPT
-A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096 -j ACCEPT
COMMIT



"не открывается порт"
Отправлено ramzes3000 , 08-Фев-12 14:49 
>[оверквотинг удален]
> -j ACCEPT
> -A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588
> -j ACCEPT
> -A INPUT -i eth2 -p tcp -m tcp --sport 5588 --dport 5588
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096
> -j ACCEPT
> COMMIT

помогите плиз


"не открывается порт"
Отправлено reader , 08-Фев-12 17:29 
>[оверквотинг удален]
> -A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT
> --to-ports 3128
> -A PREROUTING -i vlan71 -p tcp -m tcp --dport 80 -j REDIRECT
> --to-ports 3128
> -A PREROUTING -d 212.90.183.186/32 -p tcp -m tcp --dport 1720 -j DNAT
> --to-destination 192.168.0.251:1720
> -A PREROUTING -d 212.90.183.186/32 -p tcp -m tcp --dport 5588 -j DNAT
> --to-destination 192.168.0.251:5588
> -A PREROUTING -d 212.90.183.186/32 -p udp -m udp --dport 5588 -j DNAT
> --to-destination 192.168.0.251:5588

tcpdump на интерфейсе смотрящем на 192.168.0.251, если пакеты уходят значит смотри  192.168.0.251

и кстати в INPUT их не нужно добавлять, эти пакеты пойдут через FORWARD

>[оверквотинг удален]
> -j ACCEPT
> -A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588
> -j ACCEPT
> -A INPUT -i eth2 -p tcp -m tcp --sport 5588 --dport 5588
> -j ACCEPT
> -A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096
> -j ACCEPT
> COMMIT


"не открывается порт"
Отправлено ramzes3000 , 26-Апр-12 17:56 
>[оверквотинг удален]
>> -j ACCEPT
>> -A INPUT -i eth2 -p tcp -m tcp --sport 143 --dport 143
>> -j ACCEPT
>> -A INPUT -i eth2 -p udp -m udp --sport 5588 --dport 5588
>> -j ACCEPT
>> -A INPUT -i eth2 -p tcp -m tcp --sport 5588 --dport 5588
>> -j ACCEPT
>> -A INPUT -i eth2 -p udp -m udp --sport 2048:4096 --dport 2048:4096
>> -j ACCEPT
>> COMMIt

пакеты уходят...

не могу просто открыть порты, открылся только 1720 после добавления правила в *nat

ОС Debian 6

*filter
:INPUT DROP [2241:277828]
:FORWARD ACCEPT [360203:212118641]
:OUTPUT ACCEPT [258896:197125918]
-A INPUT ! -i eth0 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 113 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2048 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5588 -j ACCEPT
COMMIT
# Completed on Thu Apr 26 18:54:13 2012
# Generated by iptables-save v1.4.8 on Thu Apr 26 18:54:13 2012
*mangle
:PREROUTING ACCEPT [591837:394353736]
:INPUT ACCEPT [231570:182227863]
:FORWARD ACCEPT [360203:212118641]
:OUTPUT ACCEPT [258899:197126134]
:POSTROUTING ACCEPT [619850:409326495]
COMMIT
# Completed on Thu Apr 26 18:54:13 2012
# Generated by iptables-save v1.4.8 on Thu Apr 26 18:54:13 2012
*nat
:PREROUTING ACCEPT [16611:1546310]
:POSTROUTING ACCEPT [366:30572]
:OUTPUT ACCEPT [8311:567766]
-A PREROUTING -i vlan107 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan71 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
-A PREROUTING -p tcp -m tcp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
-A POSTROUTING -o eth0 -j SNAT --to-source 212.90.183.186
COMMIT

спасибо


"не открывается порт"
Отправлено LSTemp , 27-Апр-12 16:17 
>[оверквотинг удален]
> --to-ports 3128
> -A PREROUTING -i vlan257 -p tcp -m tcp --dport 80 -j REDIRECT
> --to-ports 3128
> -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT
> --to-ports 3128
> -A PREROUTING -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
> -A PREROUTING -p tcp -m tcp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
> -A POSTROUTING -o eth0 -j SNAT --to-source 212.90.183.186
> COMMIT
> спасибо

1) как проверяешь?
2) сервис, который слушать на проброшеном порту должен запусти перед проверкой


"не открывается порт"
Отправлено ramzes3000 , 27-Апр-12 18:28 
>[оверквотинг удален]
>> --to-ports 3128
>> -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT
>> --to-ports 3128
>> -A PREROUTING -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
>> -A PREROUTING -p tcp -m tcp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
>> -A POSTROUTING -o eth0 -j SNAT --to-source 212.90.183.186
>> COMMIT
>> спасибо
> 1) как проверяешь?
> 2) сервис, который слушать на проброшеном порту должен запусти перед проверкой

1. http://speed-tester.info/check_port.php и др.
2. АТС с платой voip
3/ порты на самом серваке почему не открываются?


"не открывается порт"
Отправлено LSTemp , 27-Апр-12 21:00 
>[оверквотинг удален]
>>> -A PREROUTING -p tcp -m tcp --dport 1720 -j DNAT --to-destination 192.168.0.251:1720
>>> -A PREROUTING -p tcp -m tcp --dport 5588 -j DNAT --to-destination 192.168.0.251:5588
>>> -A POSTROUTING -o eth0 -j SNAT --to-source 212.90.183.186
>>> COMMIT
>>> спасибо
>> 1) как проверяешь?
>> 2) сервис, который слушать на проброшеном порту должен запусти перед проверкой
> 1. http://speed-tester.info/check_port.php и др.
> 2. АТС с платой voip
> 3/ порты на самом серваке почему не открываются?

3) потому что за пакеты, приходящие на сервак отвечает цепочка правил INPUT. за персылку пакетов  - отвечает FORWARD. пакет тупо пробрасывается на целевую машину-порт и по результату с этой конечной машины тебе сервис из п.1 ответ тебе и покажет. еще раз: запусти сервис, который должен висеть на конечной машине для проверки того, что порт нормально пробрасывается И ОТВЕЧАЕТ (если ты пробрасываешь порт, но там никто не отвечает, то по п.1 тебе скажут, что он закрыт).

хочешь знать больше? man nmap.


"не открывается порт"
Отправлено ramzes3000 , 27-Апр-12 22:25 
> 3) потому что за пакеты, приходящие на сервак отвечает цепочка правил INPUT.

т.е. если на серваке порт открыт, например
-A INPUT -p tcp -m tcp --dport 5588 -j ACCEPT
а сервис не запущен, то покажет, что порт закрыт?
вот где собака зарыта...
спасибо


"не открывается порт"
Отправлено LSTemp , 27-Апр-12 23:10 
>> 3) потому что за пакеты, приходящие на сервак отвечает цепочка правил INPUT.
> т.е. если на серваке порт открыт, например
> -A INPUT -p tcp -m tcp --dport 5588 -j ACCEPT
> а сервис не запущен, то покажет, что порт закрыт?
> вот где собака зарыта...
> спасибо

при различных видах сканирования nmap покажет, что порт на фаерволе у тебя открыт, но никакого сервиза за этим открытым портом нет. а онлайн портсканы естественно делают все по минимуму и именно такой результат (что порт закрыт) и покажут.

то что открыто на самом серваке ты можешь посмотреть командой netstat:
netstat -l     - открытые порты, которые готовы принять соединение (именно на твой сервак, а не для проброса)            
netstat -lt    - тоже, что и предыдущее, но только TCP протоколу
netstat -lu    - по протоколу UDP

так ты сам небольшую проверку выполнить можешь по открытым у тебя портам.

советую почитать:
man netstat
man nmap


"не открывается порт"
Отправлено ramzes3000 , 27-Апр-12 23:26 
>[оверквотинг удален]
> то что открыто на самом серваке ты можешь посмотреть командой netstat:
> netstat -l     - открытые порты, которые готовы принять
> соединение (именно на твой сервак, а не для проброса)
> netstat -lt    - тоже, что и предыдущее, но только
> TCP протоколу
> netstat -lu    - по протоколу UDP
> так ты сам небольшую проверку выполнить можешь по открытым у тебя портам.
> советую почитать:
> man netstat
> man nmap

спасибо, дружище!

принято как руководство, добавлено в закладки.