 DNAT d iptables,  silent79, 27-Окт-10, 14:12 [смотреть все]Доброго времени суток.
У меня такой вопрос. Есть сервер на который приходит интернет и есть второй сервер на котором работает сервер БД. На первом сервере в iptables написано правило для переброса порта на второй сервер.iptables -t nat -I PREROUTING -d 0.0.0.0/0 -p tcp --dport 64005 -j DNAT --to-destination 192.168.1.223
iptables -I FORWARD -s 0.0.0.0/0 -d 192.168.1.223 -p tcp --dport 64005 -j ACCEPT iptables -t nat -I POSTROUTING -s 0.0.0.0/0 -d 192.168.1.223 -p tcp --dport 64005 -j SNAT --to-source 192.168.1.222
iptables -I FORWARD -d 0.0.0.0/0 -s 192.168.1.223 -p tcp --sport 64005 -j ACCEPT Данными правилами я пропускаю порт 64005 на компьютер 192.168.1.223 и наоборот. Все работает, проблем нет, но есть одно но... Когда клиент из интернета цепляется к БД на порт 64005, то на сервере 192.168.1.223 видно, что данный клиент пришел с адреса 192.168.1.222. И вопрос такой - как мне переделать правило, чтобы на сервере БД фиксировался IP адрес из интернета. За ранее спасибо.
|
- DNAT d iptables, reader, 14:50 , 27-Окт-10 (1)
- DNAT d iptables, silent79, 15:51 , 27-Окт-10 (2)
> это из-за правила с SNAT, если на 192.168.1.223 шлюзом указан 192.168.1.222, то
> для пакетов пришедших не из 192.168.1.0 подсети это привило можно убратьБез этого правила вообще не работает перенаправление порта. Пакеты до сервера БД доходят а от него нет.
- DNAT d iptables, reader, 16:13 , 27-Окт-10 (3)
- DNAT d iptables, silent79, 16:38 , 27-Окт-10 (4)
> откуда проверяете?
> из 192.168.1.0 подсети?и из этой сети подсети и из интернета. Без этого правила не пропускает.
- DNAT d iptables, sHaggY_caT, 02:43 , 28-Окт-10 (6)
- DNAT d iptables, Гусище, 12:18 , 29-Окт-10 (12)
- DNAT в iptables, silent79, 23:38 , 29-Окт-10 (13)
> А вообще reader всё верно сказал в самом первом посте. Ты наверно
> полностью убрал блок
> iptables -t nat -I POSTROUTING -s 0.0.0.0/0 -d 192.168.1.223 -p tcp --dport
> 64005 -j SNAT --to-source 192.168.1.222
> iptables -I FORWARD -d 0.0.0.0/0 -s 192.168.1.223 -p tcp --sport 64005 -j
> ACCEPT
> и ничего не заработало. :)Большое спасибо ВСЕМ за советы. Да, я действительно так сделал и не заработало. Точнее заработало, но отвалилась другая сеть. Проблема оказалась на сервере 192.168.1.223, на нем было прописано 2 шлюза. Пришлось их удалить и прописать маршруты руками на разные подсети, на 0.0.0.0 и 10.0.0.0
|
Версия для распечатки
