- Привязка локального IP к внешнему,
 Вася, 13:35 , 28-Окт-10 (1)> Добрый день всем!
> Задача следующая. В локальной сети работает видеорегистратор, доступ к нему изнутри сети
> осуществляется по локальному IP-адресу посредством клиентской программы. Как привязать
> этот внутренний IP к внешнему, чтобы можно было получить доступ к
> регистратору извне сети?
> Или может быть можно каким-то образом задействовать веб-сервер, чтобы клиенты могли получать
> доступ к этому регистратору через веб-браузер?
> Mandriva Linux 2006.0
> Apache 2.0.54если
192.168.0.2 - адрес видеорегистратора
66.88.55.22 - адрес шлюза в инете
ОС = какой-нибудь линукс то iptables -t nat -A PREROUTING -d 66.88.55.22 -p tcp (а может udp) --dport порт_видеорегистратора -j DNAT --to-destination 192.168.0.2:порт_видеорегистратора ну и доступы пооткрывать а это потрясающее руководство всех времен и наровод
http://www.opennet.me/docs/RUS/iptables/
- Привязка локального IP к внешнему, Вася, 13:38 , 28-Окт-10 (2)
этими команда отдается приказ - что пришло на указанный адрес-указанный порт перебросить на такой-то адрес-такой-то порт
- Привязка локального IP к внешнему, slava2003, 17:49 , 28-Окт-10 (3)
Спасибо! Попробую.> ну и доступы пооткрывать Прошу прощения за невежество, а как это сделать?:) > а это потрясающее руководство всех времен и наровод
> http://www.opennet.me/docs/RUS/iptables/ Спасибо, обязательно изучу.
А пока не изучил, еще один глупый вопрос: после манипуляций с iptables все изменения начинают действовать сразу же? Ничего перезагружать не нужно?
- Привязка локального IP к внешнему, Aquarius, 18:38 , 28-Окт-10 (4)
> Спасибо! Попробую.
>> ну и доступы пооткрывать
> Прошу прощения за невежество, а как это сделать?:)
>> а это потрясающее руководство всех времен и наровод
>> http://www.opennet.me/docs/RUS/iptables/
> Спасибо, обязательно изучу.
> А пока не изучил, еще один глупый вопрос: после манипуляций с iptables
> все изменения начинают действовать сразу же? Ничего перезагружать не нужно?угу, более того, результат этих "манипуляций" после перезагрузки пропадает
- Привязка локального IP к внешнему, slava2003, 19:52 , 28-Окт-10 (5)
>> после манипуляций с iptables
>> все изменения начинают действовать сразу же? Ничего перезагружать не нужно?
> угу, более того, результат этих "манипуляций" после перезагрузки пропадаетСтоп. А разве изменения автоматически не записываются в соотв. конфиг? И как в таком случае сделать, чтобы записывались?
- Привязка локального IP к внешнему, reader, 21:02 , 28-Окт-10 (6)
>>> после манипуляций с iptables
>>> все изменения начинают действовать сразу же? Ничего перезагружать не нужно?
>> угу, более того, результат этих "манипуляций" после перезагрузки пропадает
> Стоп. А разве изменения автоматически не записываются в соотв. конфиг? И как
> в таком случае сделать, чтобы записывались?правила должны хранится в /etc/sysconfig/iptables, автоматически не записываются.
сбросить текущие правила туда можно так:
service iptables save или iptables-save > /etc/sysconfig/iptables, при загрузки, если указано использовать iptables, правила от туда будут загружены. или можно городить свои скипты. то что вы хотите сделать разжевано в http://www.opennet.me/docs/RUS/iptables/#DNATTARGET , внимательно читайте то что под табличкой.
- Привязка локального IP к внешнему, slava2003, 18:13 , 10-Ноя-10 (7)
> iptables -t nat -A PREROUTING -d 66.88.55.22 -p tcp (а может udp) --dport
> порт_видеорегистратора -j DNAT --to-destination 192.168.0.2:порт_видеорегистратора
> то что вы хотите сделать разжевано в http://www.opennet.me/docs/RUS/iptables/#DNATTARGET
> , внимательно читайте то что под табличкой.Делаю именно так, но соединение отсутствует :( Каким образом можно локализовать ошибку?
> ну и доступы пооткрывать
Может быть дело в этом? Как это сделать?
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, Andrey Mitrofanov, 18:24 , 10-Ноя-10 (8)
> Делаю именно так, но соединение отсутствует :( Каким образом можно локализовать ошибку?Осознать, как _меняются_ и проходят пакеты туда и _обратно_, осознать, что по пути пакетов встречаются кроме "-t nat -A PREROUTING" ещё и "-t filter -A FORWARD", кое-где ещё "пересекающиеся" с включением ip_forward-а и настройкой роутинга (в том числе и вплоть до -- на всех машинах по пути следования (и тех, и других!) пакетов).... Ну, вот где-то там и по-локализовывать.
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, reader, 21:49 , 10-Ноя-10 (9)
>> Делаю именно так, но соединение отсутствует :( Каким образом можно локализовать ошибку?
> Осознать, как _меняются_ и проходят пакеты туда и _обратно_, осознать, что по
> пути пакетов встречаются кроме "-t nat -A PREROUTING" ещё и "-t
> filter -A FORWARD", кое-где ещё "пересекающиеся" с включением ip_forward-а и настройкой
> роутинга (в том числе и вплоть до -- на всех машинах
> по пути следования (и тех, и других!) пакетов).... Ну, вот где-то
> там и по-локализовывать.:) счетчики iptables и tcpdump на разных интерфейсах покажут где теплей, а где холодней.
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, slava2003, 15:29 , 11-Ноя-10 (10)
> Осознать, как _меняются_ и проходят пакеты туда и _обратно_, осознать, что по
> пути пакетов встречаются кроме "-t nat -A PREROUTING" ещё и "-t
> filter -A FORWARD", кое-где ещё "пересекающиеся" с включением ip_forward-а и настройкой
> роутинга (в том числе и вплоть до -- на всех машинах
> по пути следования (и тех, и других!) пакетов).... Ну, вот где-то
> там и по-локализовывать.
> счетчики iptables и tcpdump на разных интерфейсах покажут где теплей, а где
> холодней.Джентльмены, если бы я был таким умным как вы, то не задавал бы такие дурацкие вопросы:)
Не могли бы вы сформулировать то же самое, но подоходчивее:)
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, Andrey Mitrofanov, 15:59 , 11-Ноя-10 (11)
>> Осознать, как
>> осознать, что по
>>встречаются
>>"пересекающиеся" с
> Не могли бы вы сформулировать то же самое, но подоходчивее:)Ну, разбивай длинные предложеиня на части, напрягай "парсилку", тренеруй понималку, ищи документацию... Кому оно надо-то -- нам или тебе?... Может быть, мы доходчивее не умеем, может быть, не хотим, ленимся. В "этой хреновине" _просто написать _одну _простую строчку не достаточно: оно может "ломаться" по куче разных причин в куче разных мест. То есть если волшебный рецепт из одной строки "сработал", то повезло или "Вы что-то не заметили"(тм). За простыми "магическими" рецептами -- этт не сюда. Попробуй ближайший "Магазин юного вольшебника"?
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, reader, 17:01 , 11-Ноя-10 (12)
>[оверквотинг удален]
>> пути пакетов встречаются кроме "-t nat -A PREROUTING" ещё и "-t
>> filter -A FORWARD", кое-где ещё "пересекающиеся" с включением ip_forward-а и настройкой
>> роутинга (в том числе и вплоть до -- на всех машинах
>> по пути следования (и тех, и других!) пакетов).... Ну, вот где-то
>> там и по-локализовывать.
>> счетчики iptables и tcpdump на разных интерфейсах покажут где теплей, а где
>> холодней.
> Джентльмены, если бы я был таким умным как вы, то не задавал
> бы такие дурацкие вопросы:)
> Не могли бы вы сформулировать то же самое, но подоходчивее:)iptables-save -c
покажет правила и счетчики пакетов и байт прошедших через правило, соответственно будет видно какие правила срабатывают. tcpdump -n -i eth0 или eth1
покажет что проходит через интерфейс, соответственно смотрите есть там пакеты которые вам нужны или нет в общем уже бы показали вывод iptables-save , может кто что и подсказал конкретней, но надеяться что сделают за вас не нужно
- Форвард портов - это ж ядерная бомба, да на ассемблере.Сложно!, slava2003, 18:38 , 02-Дек-10 (13)
> iptables-save -c
> покажет правила и счетчики пакетов и байт прошедших через правило, соответственно будет
> видно какие правила срабатывают.
> tcpdump -n -i eth0 или eth1
> покажет что проходит через интерфейс, соответственно смотрите есть там пакеты которые вам
> нужны или нет
> в общем уже бы показали вывод iptables-save , может кто что и подсказал конкретнейВывод iptables-save: *mangle
:PREROUTING ACCEPT [2968388:2692407269]
:INPUT ACCEPT [1703347:1029665455]
:FORWARD ACCEPT [3551709:3027369690]
:OUTPUT ACCEPT [1640888:1049924349]
:POSTROUTING ACCEPT [2716155:1452630391]
[46763:5444642] -A PREROUTING -i eth0 -j QUEUE
[2240007:1359145177] -A PREROUTING -i eth1 -j QUEUE
[1507:305103] -A PREROUTING -i eth2 -j QUEUE
[43513:67764845] -A POSTROUTING -o eth0 -j QUEUE
[2431489:2556076277] -A POSTROUTING -o eth1 -j QUEUE
[1297:818388] -A POSTROUTING -o eth2 -j QUEUE
COMMIT *filter
:INPUT ACCEPT [1703255:1029660203]
:FORWARD DROP [107:5527]
:OUTPUT ACCEPT [1640890:1049924475]
[0:0] -A INPUT -i eth4 -p udp -m udp --dport 67 -j REJECT --reject-with icmp-port-unreachable
[15:852] -A INPUT -i eth4 -p tcp -m tcp --dport 3128 -j REJECT --reject-with tcp-reset
[0:0] -A INPUT -i eth4 -p tcp -m tcp --dport 5347 -j REJECT --reject-with tcp-reset
[0:0] -A INPUT -i eth0 -p tcp -m tcp --dport 5347 -j REJECT --reject-with tcp-reset
[0:0] -A INPUT -i eth1 -p tcp -m tcp --dport 5347 -j REJECT --reject-with tcp-reset
[0:0] -A INPUT -i eth2 -p tcp -m tcp --dport 5347 -j REJECT --reject-with tcp-reset
[55:3115] -A INPUT -s 10.0.0.0/255.0.0.0 -i eth4 -j DROP
[0:0] -A INPUT -s 127.0.0.0/255.0.0.0 -i eth4 -j DROP
[0:0] -A INPUT -s 172.16.0.0/255.240.0.0 -i eth4 -j DROP
[25:1487] -A INPUT -s 192.168.0.0/255.255.0.0 -i eth4 -j DROP
[0:0] -A INPUT -s 224.0.0.0/240.0.0.0 -i eth4 -j DROP
[0:0] -A INPUT -s 240.0.0.0/248.0.0.0 -i eth4 -j DROP
[0:0] -A INPUT -s ! 192.168.0.0/255.255.255.0 -i eth0 -j DROP
[0:0] -A INPUT -s ! 192.168.1.0/255.255.255.0 -i eth1 -j DROP
[0:0] -A INPUT -s ! 192.168.2.0/255.255.255.0 -i eth2 -j DROP
[60:3360] -A FORWARD -s 10.0.0.0/255.0.0.0 -j DROP
[0:0] -A FORWARD -s 127.0.0.0/255.0.0.0 -j DROP
[0:0] -A FORWARD -s 172.16.0.0/255.240.0.0 -j DROP
[0:0] -A FORWARD -s 224.0.0.0/240.0.0.0 -j DROP
[0:0] -A FORWARD -s 240.0.0.0/248.0.0.0 -j DROP
[50:4000] -A FORWARD -d 10.0.0.0/255.0.0.0 -j DROP
[0:0] -A FORWARD -d 127.0.0.0/255.0.0.0 -j DROP
[0:0] -A FORWARD -d 172.16.0.0/255.240.0.0 -j DROP
[0:0] -A FORWARD -d 224.0.0.0/240.0.0.0 -j DROP
[0:0] -A FORWARD -d 240.0.0.0/248.0.0.0 -j DROP
[0:0] -A FORWARD -d ! mail_ip_addr -i eth0 -p tcp -m tcp --dport 25 -j DROP
[0:0] -A FORWARD -d ! mail_ip_addr -i eth1 -p tcp -m tcp --dport 25 -j DROP
[34:2144] -A FORWARD -s 192.168.0.0/255.255.0.0 -i eth4 -j DROP
[0:0] -A FORWARD -d 192.168.0.0/255.255.0.0 -o eth4 -j DROP
[0:0] -A FORWARD -s ! 192.168.0.0/255.255.255.0 -i eth0 -j DROP
[0:0] -A FORWARD -s ! 192.168.1.0/255.255.255.0 -i eth1 -j DROP
[0:0] -A FORWARD -s ! 192.168.2.0/255.255.255.0 -i eth2 -j DROP
[0:0] -A FORWARD -d 192.168.1.1 -i eth0 -j ACCEPT
[4643:765263] -A FORWARD -d 192.168.1.2 -i eth0 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.3 -i eth0 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.4 -i eth0 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.5 -i eth0 -j ACCEPT
[0:0] -A FORWARD -d 192.168.2.1 -i eth0 -j ACCEPT
[0:0] -A FORWARD -d 192.168.0.1 -i eth1 -j ACCEPT
[0:0] -A FORWARD -d 192.168.0.2 -i eth1 -j ACCEPT
[0:0] -A FORWARD -d 192.168.2.1 -i eth1 -j ACCEPT
[0:0] -A FORWARD -d 192.168.0.1 -i eth2 -j ACCEPT
[0:0] -A FORWARD -d 192.168.0.2 -i eth2 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.1 -i eth2 -j ACCEPT
[192:23339] -A FORWARD -d 192.168.1.2 -i eth2 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.3 -i eth2 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.4 -i eth2 -j ACCEPT
[0:0] -A FORWARD -d 192.168.1.5 -i eth2 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.2 -o eth1 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.2 -o eth2 -j ACCEPT
[5386:3117220] -A FORWARD -s 192.168.1.2 -o eth0 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.3 -o eth0 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.4 -o eth0 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.5 -o eth0 -j ACCEPT
[266:297191] -A FORWARD -s 192.168.1.2 -o eth2 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.3 -o eth2 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.4 -o eth2 -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.5 -o eth2 -j ACCEPT
[6719:7829124] -A FORWARD -d 192.168.0.0/255.255.255.0 -i eth4 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
[1793240:1725567950] -A FORWARD -d 192.168.1.0/255.255.255.0 -i eth4 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
[518:241621] -A FORWARD -d 192.168.2.0/255.255.255.0 -i eth4 -o eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT
[4125:593653] -A FORWARD -i eth0 -o eth4 -j ACCEPT
[1735917:1288871847] -A FORWARD -i eth1 -o eth4 -j ACCEPT
[452:47451] -A FORWARD -i eth2 -o eth4 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.0/255.255.0.0 -d 192.168.0.0/255.255.255.0 -i ppp+ -o eth0 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.0/255.255.0.0 -d 192.168.1.0/255.255.255.0 -i ppp+ -o eth1 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.0/255.255.0.0 -d 192.168.2.0/255.255.255.0 -i ppp+ -o eth2 -j ACCEPT
[0:0] -A FORWARD -s 192.168.0.0/255.255.255.0 -d 192.168.0.0/255.255.0.0 -i eth0 -o ppp+ -j ACCEPT
[0:0] -A FORWARD -s 192.168.1.0/255.255.255.0 -d 192.168.0.0/255.255.0.0 -i eth1 -o ppp+ -j ACCEPT
[0:0] -A FORWARD -s 192.168.2.0/255.255.255.0 -d 192.168.0.0/255.255.0.0 -i eth2 -o ppp+ -j ACCEPT
[0:0] -A OUTPUT -o eth4 -p tcp -m tcp --dport 5269 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A OUTPUT -o eth4 -p udp -m udp --dport 5269 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A OUTPUT -s ! mail_ip_addr -o eth4 -p tcp -m tcp --dport 25 -j REJECT --reject-with icmp-port-unreachable
COMMIT *nat
:PREROUTING ACCEPT [238771:15467012]
:POSTROUTING ACCEPT [45797:3131974]
:OUTPUT ACCEPT [45601:3094502]
[1575:93400] -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
[22777:1095548] -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
[48:2304] -A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 #---------------------------------------------------------------------------------------
# А вот, собственно, то, что относится к видеорегистратору
[0:0] -A PREROUTING -d web_ip_addr -p tcp -m tcp --dport 5000 -j DNAT --to-destination videoreg_local_ip_addr:5000
[3:156] -A PREROUTING -d web_ip_addr -p tcp -m tcp --dport 5001 -j DNAT --to-destination videoreg_local_ip_addr:5001
#--------------------------------------------------------------------------------------- [40:2404] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth4 -j SNAT --to-source ext_ip_addr
[96628:7021072] -A POSTROUTING -s 192.168.1.0/255.255.255.0 -o eth4 -j SNAT --to-source ext_ip_addr
[37:1776] -A POSTROUTING -s 192.168.2.0/255.255.255.0 -o eth4 -j SNAT --to-source ext_ip_addr
COMMIT web_ip_addr - внешний адрес сети. На нем также висит web-сервер.
videoreg_local_ip_addr - локальный адрес видеорегистратора.
5000 и 5001 - соотв-но AV port и Command port видеорегистратора. Интерфейс лок.сети - eth1. Вывод tcpdump при подключении к регистратору изнутри лок.сети:
arp who-has videoreg_local_ip_addr tell local_ip_addr local_ip_addr - лок.адрес компа, с которого осуществляется подключение. Всё работает. Вывод tcpdump при попытке подключения через внешний IP:
IP local_ip_addr.1835 > web_ip_addr.5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK>
IP local_ip_addr.1835 > web_ip_addr:5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK>
IP local_ip_addr.1835 > web_ip_addr.5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK> Прошу прощения за невежество, но мб кто-нибудь подскажет что-нибудь дельное?
- я тэбэ один умный вэсчь скажу, только ты нэ обжайся, reader, 18:50 , 08-Дек-10 (14)
>[оверквотинг удален]
> DNAT --to-destination videoreg_local_ip_addr:5001
> #---------------------------------------------------------------------------------------
> [40:2404] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth4 -j SNAT --to-source ext_ip_addr
> [96628:7021072] -A POSTROUTING -s 192.168.1.0/255.255.255.0 -o eth4 -j SNAT --to-source
> ext_ip_addr
> [37:1776] -A POSTROUTING -s 192.168.2.0/255.255.255.0 -o eth4 -j SNAT --to-source ext_ip_addr
> COMMIT
> web_ip_addr - внешний адрес сети. На нем также висит web-сервер.
> videoreg_local_ip_addr - локальный адрес видеорегистратора.
> 5000 и 5001 - соотв-но AV port и Command port видеорегистратора.если у видеорегистратора серый ip, то на х.. ты его прячиш, как тут понять под какое правило пакет попадет? > Интерфейс лок.сети - eth1.
> Вывод tcpdump при подключении к регистратору изнутри лок.сети:
> arp who-has videoreg_local_ip_addr tell local_ip_addr
> local_ip_addr - лок.адрес компа, с которого осуществляется подключение. Всё работает.
> Вывод tcpdump при попытке подключения через внешний IP:
> IP local_ip_addr.1835 > web_ip_addr.5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK>
> IP local_ip_addr.1835 > web_ip_addr:5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK>
> IP local_ip_addr.1835 > web_ip_addr.5001: S 2254610155:2254610155(0) win 65535 <mss 1460,nop,nop,sackOK> какой это интерфейс? локальный адрес в подсети регистратора? что это? запросы без ответов, если да, то я вить говорил читай внимательно что под табличкой > Прошу прощения за невежество, но мб кто-нибудь подскажет что-нибудь дельное?
|
Версия для распечатки
Привязка локального IP к внешнему, 
