форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Открытые системы на сервере (Маршрутизация, NAT / Linux)
Изначальное сообщение		[ Отслеживать ]

"Проброс порта через CentOS и OpenWRT"	+/–
Сообщение от mikmak (ok) on 26-Мрт-13, 04:09
Здравствуйте! Пытаюсь реализовать такую связку: INET -> 11.22.33.44-OpenWRT-192.168.254.254 -> 192.168.254.200-CentOS-192.168.153.253 -> 192.168.253.110-Win2003 Пытаюсь проверить доступность порта 8080 из инета, результат - порт закрыт.. На Win2003 открыт порт 8080 и разрешён в брандмауэре. На CentOS iptables На OpenWRT iptables Цепочку прохождения вижу так: На OpenWRT правила: -A PREROUTING -i pppoe-wan -j zone_wan_prerouting -A zone_wan_prerouting -d 11.22.33.44/32 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.254.200:8080 -A FORWARD -j forward -A forward -i pppoe-wan -j zone_wan_forward -A zone_wan_forward -d 192.168.254.200/32 -p tcp -m tcp --dport 8080 -j ACCEPT На CentOS правила: -A PREROUTING -d 192.168.254.200 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.253.110:8080 -A FORWARD -d 192.168.253.110 -p tcp -m tcp --dport 8080 -j ACCEPT На Win2003 разрешения есть для входящих соединений на 8080 порт На CentOs правила: -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT -A POSTROUTING -s $LAN_1_NET -o $WAN_1 -j SNAT --to-source $WAN_1_IP На OpenWRT правила: -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT -A POSTROUTING -o pppoe-wan -j zone_wan_nat -A zone_wan_nat -p tcp -j SNAT --to-source 11.22.33.44 На всех интерфейсах от 11.22.33.44 до 192.168.253.110 смотрю tcpdump-ом и вижу прохождение пакетов. Вот вывод tcpdump-а на внешнем интерфейсе OpenWRT: root@OpenWrt:~# tcpdump -vv -n -i pppoe-wan port 8080 tcpdump: listening on pppoe-wan, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes 22:10:51.227426 IP (tos 0x70, ttl 56,   id 13727, offset 0, flags [DF],   proto TCP (6), length 60)    188.40.74.10.36930 > 11.22.33.44.8080:   Flags [S],  cksum 0x2ff2 (correct), seq 2775666110, win 5840, options [mss 1460,sackOK,TS val 545290273 ecr 0,nop,wscale 9], length 0 22:10:51.229484 IP (tos 0x0,  ttl 126,  id 23526, offset 0, flags [none], proto TCP (6), length 64)    11.22.33.44.8080   > 188.40.74.10.36930: Flags [S.], cksum 0xd48f (correct), seq 4043753414, ack 2775666111, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 22:10:53.580516 IP (tos 0x0,  ttl 126,  id 23527, offset 0, flags [none], proto TCP (6), length 64)    11.22.33.44.8080   > 188.40.74.10.36930: Flags [S.], cksum 0xd48f (correct), seq 4043753414, ack 2775666111, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 22:10:54.227660 IP (tos 0x70, ttl 56,   id 13728, offset 0, flags [DF],   proto TCP (6), length 60)    188.40.74.10.36930 > 11.22.33.44.8080:   Flags [S],  cksum 0x2d04 (correct), seq 2775666110, win 5840, options [mss 1460,sackOK,TS val 545291023 ecr 0,nop,wscale 9], length 0 22:11:00.142767 IP (tos 0x0,  ttl 126,  id 23528, offset 0, flags [none], proto TCP (6), length 64)    11.22.33.44.8080   > 188.40.74.10.36930: Flags [S.], cksum 0xd48f (correct), seq 4043753414, ack 2775666111, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 На CentOS открыт еще и 443 порт. Открыт он непосредственно на этой машине. При проверке снаружи - открыт.. Проверка nmap-ом с OpenWRT показывает, что порт 8080 на CentOS открыт: root@OpenWrt:/lib/firewall# nmap -sT -p 8080 192.168.254.200 Starting Nmap 5.51 ( http://nmap.org ) at 2013-03-26 03:10 MSK Nmap scan report for 192.168.254.200 Host is up (0.00054s latency). PORT     STATE SERVICE 8080/tcp open  http-proxy MAC Address: 00:0C:29:AF:7F:3C (VMware) Куда дальше копать - не понимаю %(
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Проброс порта через CentOS и OpenWRT"	+/–
Сообщение от reader (ok) on 26-Мрт-13, 11:27
>[оверквотинг удален] > -A forward -i pppoe-wan -j zone_wan_forward -A zone_wan_forward -d 192.168.254.200/32 > -p tcp -m tcp --dport 8080 -j ACCEPT > На CentOS правила: > -A PREROUTING -d 192.168.254.200 -p tcp -m tcp --dport 8080 -j DNAT > --to-destination 192.168.253.110:8080 > -A FORWARD -d 192.168.253.110 -p tcp -m tcp --dport 8080 -j ACCEPT > На Win2003 разрешения есть для входящих соединений на 8080 порт > На CentOs правила: > -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT > -A POSTROUTING -s $LAN_1_NET -o $WAN_1 -j SNAT --to-source $WAN_1_IP зачем тут snat? На OpenWRT добавте маршрут до 192.168.153.253 -> 192.168.253.110 и на OpenWRT делайте проброс сразу на 192.168.253.110:8080 >[оверквотинг удален] > машине. При проверке снаружи - открыт.. > Проверка nmap-ом с OpenWRT показывает, что порт 8080 на CentOS открыт: > root@OpenWrt:/lib/firewall# nmap -sT -p 8080 192.168.254.200 > Starting Nmap 5.51 ( http://nmap.org ) at 2013-03-26 03:10 MSK > Nmap scan report for 192.168.254.200 > Host is up (0.00054s latency). > PORT     STATE SERVICE > 8080/tcp open  http-proxy > MAC Address: 00:0C:29:AF:7F:3C (VMware) > Куда дальше копать - не понимаю %( два пакета 11.22.33.44.8080 > 188.40.74.10.36930  - до 188.40.74.10 не дошел ответ?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "Проброс порта через CentOS и OpenWRT"	+/–
	Сообщение от mikmak (ok) on 26-Мрт-13, 15:46
	Здравствуйте! >> На CentOs правила: >> -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT >> -A POSTROUTING -s $LAN_1_NET -o $WAN_1 -j SNAT --to-source $WAN_1_IP > зачем тут snat? > На OpenWRT добавте маршрут до 192.168.153.253 -> 192.168.253.110 и на OpenWRT делайте > проброс сразу на 192.168.253.110:8080 Согласен, так проще.. Добавил маршрут до 192.168.253.110 (win2003) через 192.168.254.200 (Внешний IP CentOS-а), это позволило убрать SNAT на CentOS.. Теперь при проверке доступности порта на 192.168.253.110:8080 nmap-ом с OpenWRT - он открыт: root@OpenWrt:~# nmap -sT -p 8080 192.168.253.110 Starting Nmap 5.51 ( http://nmap.org ) at 2013-03-26 14:41 MSK Nmap scan report for 192.168.253.110 Host is up (0.00094s latency). PORT     STATE SERVICE 8080/tcp open  http-proxy Но при проверке снаружи - закрыт.. root@OpenWrt:~# tcpdump -tn -i pppoe-wan port 8080 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on pppoe-wan, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes IP 188.40.74.10.42628 > 11.22.33.44.8080: Flags [S], seq 2672373476, win 5840, options [mss 1460,sackOK,TS val 604274499 ecr 0,nop,wscale 9], length 0 IP 11.22.33.44.8080 > 188.40.74.10.42628: Flags [S.], seq 1900179200, ack 2672373477, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 IP 11.22.33.44.8080 > 188.40.74.10.42628: Flags [S.], seq 1900179200, ack 2672373477, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 IP 188.40.74.10.42628 > 11.22.33.44.8080: Flags [S], seq 2672373476, win 5840, options [mss 1460,sackOK,TS val 604275249 ecr 0,nop,wscale 9], length 0 IP 11.22.33.44.8080 > 188.40.74.10.42628: Flags [S.], seq 1900179200, ack 2672373477, win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length 0 > два пакета 11.22.33.44.8080 > 188.40.74.10.36930  - до 188.40.74.10 не дошел ответ? Да, почему-то ответ до 188.40.74.10 не доходит :( Можно какую-нибудь информацию почерпнуть в более развёрнутом tcpdump-е?
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "Проброс порта через CentOS и OpenWRT"	+/–
	Сообщение от reader (ok) on 26-Мрт-13, 16:26
	>[оверквотинг удален] > IP 11.22.33.44.8080 > 188.40.74.10.42628: Flags [S.], seq 1900179200, ack 2672373477, > win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length > 0 > IP 188.40.74.10.42628 > 11.22.33.44.8080: Flags [S], seq 2672373476, win 5840, options > [mss 1460,sackOK,TS val 604275249 ecr 0,nop,wscale 9], length 0 > IP 11.22.33.44.8080 > 188.40.74.10.42628: Flags [S.], seq 1900179200, ack 2672373477, > win 16384, options [mss 1452,nop,wscale 0,nop,nop,TS val 0 ecr 0,nop,nop,sackOK], length > 0 >> два пакета 11.22.33.44.8080 > 188.40.74.10.36930  - до 188.40.74.10 не дошел ответ? > Да, почему-то ответ до 188.40.74.10 не доходит :( tcpdump на 188.40.74.10 смотрели? попробуйте в сторону 188.40.74.10 отправлять пакеты и смотрите дошли они, например с помощью traceproto с CentOS|OpenWRT > Можно какую-нибудь информацию почерпнуть в более развёрнутом tcpdump-е? пакеты не большие что бы упереться в mtu, а там хз что за каналы
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "Проброс порта через CentOS и OpenWRT"	+/–
	Сообщение от mikmak (ok) on 26-Мрт-13, 17:58
	> tcpdump на 188.40.74.10 смотрели? > попробуйте в сторону 188.40.74.10 отправлять пакеты и смотрите дошли они, например с > помощью traceproto с CentOS|OpenWRT >> Можно какую-нибудь информацию почерпнуть в более развёрнутом tcpdump-е? > пакеты не большие что бы упереться в mtu, а там хз что за каналы Интересная ситуация получается! Сейчас попробовал с удалённого компьютера (через vnc) подключиться на адрес 11.22.33.44:8080 с обычного браузера, как оно и должно, по-идее работать и одновременно запустил везде tcpdump (windump). Вот чего получилось: На удалённом компьютере (192.168.10.104, windump) 192.168.10.104.2708 > 11.22.33.44.8080: S ...bla..bla..bla............... 192.168.10.104.2709 > 11.22.33.44.8080: S ....bla.. bla..bla.............. 192.168.10.104.2708 > 11.22.33.44.8080: S ....bla...bla..bla............. На шлюзе (DFL-210), который смотрит в интернет в той сети, вижу соединения: Состояние         Proto (Первичный)         Источник         Назначение         Таймаут     SYN_RCVD     TCP     lan:192.168.10.104:2709     mega:11.22.33.44:8080     57 SYN_RCVD     TCP     lan:192.168.10.104:2708     mega:11.22.33.44:8080     57 На OpenWRT (pppoe-wan) xx.xx.xx.xx.49176 > 11.22.33.44.8080: Flag [S].bla..bla..bla..... 11.22.33.44.8080 > xx.xx.xx.xx.49176: Flag [S.} .bla..bla..bla..... Интересно, с чем сие может быть связано?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "Проброс порта через CentOS и OpenWRT"	+/–
	Сообщение от mikmak (ok) on 27-Мрт-13, 00:44
	Хе-хе.. Можно не отвечать.. :) Ступил..
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема