URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 76468
[ Назад ]

Исходное сообщение
"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 28-Сен-07 10:47

Как сделать, чтобы не подменялся ip адрес, приходящий с LAN интерфейса ip адресом WAN интерфейса, а проходил дальше до следующего звена в неизмененном виде с помощью IPTABLES
У меня на LAN интерфейсе алиасы разных подсетей. Надо подсети с публичными ip адресами сделать доступными из-вне

Содержание

IPTABLES устранить подмену ip адресов на LAN_IF,reader, 12:39 , 28-Сен-07
- IPTABLES устранить подмену ip адресов на LAN_IF,HappyS, 13:49 , 28-Сен-07
  - IPTABLES устранить подмену ip адресов на LAN_IF,HappyS, 14:02 , 28-Сен-07
    - IPTABLES устранить подмену ip адресов на LAN_IF,reader, 17:47 , 28-Сен-07
      - IPTABLES устранить подмену ip адресов на LAN_IF,HappyS, 10:12 , 01-Окт-07
        
        IPTABLES устранить подмену ip адресов на LAN_IF,reader, 11:43 , 01-Окт-07
        
        IPTABLES устранить подмену ip адресов на LAN_IF,HappyS, 12:27 , 01-Окт-07
        
        IPTABLES устранить подмену ip адресов на LAN_IF,reader, 16:15 , 01-Окт-07
        
        IPTABLES устранить подмену ip адресов на LAN_IF,HappyS, 16:28 , 01-Окт-07

Сообщения в этом обсуждении

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено reader , 28-Сен-07 12:39

в SNAT указать ip, которые не нужно натить

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 28-Сен-07 13:49

>в SNAT указать ip, которые не нужно натить
У меня схема такая
*filter
:INPUT ACCEPT [6119:344155]
:FORWARD ACCEPT [1685:1247089]
:OUTPUT ACCEPT [13109:4296753]
:server_name - [0:0]
-A FORWARD -j server_name
COMMIT
*nat
:PREROUTING ACCEPT [3502:172884]
:POSTROUTING ACCEPT [106:6858]
:OUTPUT ACCEPT [85:5718]
-A POSTROUTING -s 192.168.0.0/255.255.255.0 -d 192.168.0.0/255.255.255.0 -j
SNAT --to -source 195.195.195.195
-A POSTROUTING -s 212.74.222.144/255.255.255.240 -d 212.74.222.144/255.255.255.240 -j
SNAT --to -source 195.195.195.195
где 195,195,195,195 - WAN_if сервера server_name
В этом случае ip адреса подсети 212.74.222.144/28 не пингуются снаружи WAN_if
Какой правильный синтаксис для правила SNAT в моем случае?

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 28-Сен-07 14:02

Может быть надо не всю подсеть переадресовывать с помощью SNAT а каждый ip адрес подсети со своим правилом / Так я думаю?
???
например
-A POSTROUTING -s 192.168.0.0/255.255.255.0 -d 192.168.0.0/255.255.255.0 -j
SNAT --to -source 195.195.195.195
-A POSTROUTING -s 212.74.222.145/255.255.255.240 -d 212.74.222.145/255.255.255.240 -j SNAT --to -source 195.195.195.195
-A POSTROUTING -s 212.74.222.146/255.255.255.240 -d 212.74.222.146/255.255.255.240 -j SNAT --to -source 195.195.195.195
etc

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено reader , 28-Сен-07 17:47

а с LAN интерфейса какие ip источника?

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 01-Окт-07 10:12

>а с LAN интерфейса какие ip источника?
публичный адрес

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено reader , 01-Окт-07 11:43

>>а с LAN интерфейса какие ip источника?
>
>публичный адрес
-A POSTROUTING -o WAN_интерфейса -s ! LAN_IP -j SNAT --to -source 195.195.195.195
не будет подмены адреса источника в пакетах уходящих через WAN_интерфейса с адресом LAN_IP, остальные будут нататься

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 01-Окт-07 12:27

У меня срабатывает правило
-A POSTROUTING -s $PUBLIC_NET -d ! $PUBLIC_NET -j SNAT --to -source WAN_IP
но не срабатывает теперь правило
-A POSTROUTING -s 192.168.1.0/255.255.255.0 -d ! 192.168.1.0/255.255.255.0 -j SNAT --to -source WAN_IP
не выходят на WAN_IP внутренние ip адреса. Может их не натить?

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено reader , 01-Окт-07 16:15

1
>У меня срабатывает правило
>-A POSTROUTING -s $PUBLIC_NET -d ! $PUBLIC_NET -j SNAT --to -source WAN_IP
>
>но не срабатывает теперь правило
>-A POSTROUTING -s 192.168.1.0/255.255.255.0 -d ! 192.168.1.0/255.255.255.0 -j SNAT --to -source WAN_IP
>
>не выходят на WAN_IP внутренние ip адреса. Может их не натить?
если подсеть 192.168.1.0/255.255.255.0 выпускаете в инет через WAN_IP, то нужно натить иначе, провайдер или на каком нибуть следующем маршрутизаторе, эти пакеты убьют

"IPTABLES устранить подмену ip адресов на LAN_IF"
Отправлено HappyS , 01-Окт-07 16:28

>[оверквотинг удален]
>>У меня срабатывает правило
>>-A POSTROUTING -s $PUBLIC_NET -d ! $PUBLIC_NET -j SNAT --to -source WAN_IP
>>
>>но не срабатывает теперь правило
>>-A POSTROUTING -s 192.168.1.0/255.255.255.0 -d ! 192.168.1.0/255.255.255.0 -j SNAT --to -source WAN_IP
>>
>>не выходят на WAN_IP внутренние ip адреса. Может их не натить?
>
>если подсеть 192.168.1.0/255.255.255.0 выпускаете в инет через WAN_IP, то нужно натить иначе,
>провайдер или на каком нибуть следующем маршрутизаторе, эти пакеты убьют
Конечно натить внутренние ip мне надо и мне все равно что с ними бюудет за WAN интерфейсом, а вот публичные подсети, которых несколько мненадо пропускать без маскирования, без подмены адресов WAN ip адресом. Вот и вопрос - почему внутренние ip не выходят в интернет через WAN_IP? С внешними разобрался - все выходят и пингуются. Помог SNAT