Jestem tutaj nowy i potrzebuję pomocy w konfiguracji iptables. Nakreślę jak wygląda sprawa u mnie:
Posiadam ruter do neostrady Adres tego rutera to: w sieci lokalnej to: 192.168.1.1 do rutera mam wpięty "serwer", przez który przechodzi cały ruch. Serwer ma w sobie dwie karty. Pierwszy interfejs eth0 ma adres 192.168.1.254 i podłączony jest do routera. Drugi interfejs eth1 ma adres 10.0.0.1 i jest on podłączony do siei lokalnej.
W sieci lokalnej posiadam parę stacji roboczych oraz jeden "rejestrator", na którym znajduje się aplikacja pod Linuksa do rejestrowania obrazu z kamer. Aplikację zarządza się przez www (łączenie następuje przez port 80). Adres tego "rejestratora" na interfejsie eth1 to 10.0.0.2 (podłączony jest on do sieci lokalnej). Druga karta eth0 tworzy podsieć dla kamer oraz innych urządzeń. Adres karty eth1 to 192.168.1.1. Na rejestratorze jaki i Serwerze zainstalowany jest Debian. Rejestrator ,,piada'' Debiana w najnowszej stabilnej wersji, a serwer Debiana w wersji 6.0.5
Mój problem polega na tym, że nie jestem sobie w stanie poradzić z przekierowaniem portów do zdalnego dostępu do serwera kamer. Chciałbym abym mógł się łączyć z internetu do serwera kamer powiedzmy na porcie 4000. Z routerem nie mam problemu ponieważ wpisuję w nim tylko nr portu do odblokowania oraz adres serwera (192.168.1.254) oraz port 4000.
Na serwerze natomiast ustawiam sobie w pliku firewall:
Kod: Zaznacz cały
#! /bin/sh
/bin/echo 1 > /proc/sys/net/ipv4/ip_forvard
.
#masa innych zabezpieczen
.
# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -t mangle -F
iptables -t mangle -X
# ustawienie domyslnej polityki
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH ACK -j DROP
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN -j DROP
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN,URG,PSH -j DROP
# utrzymanie polaczen nawiazanych
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
#Kamery
iptables -t nat -A PREROUTING -p tcp --dport 4000 -j DNAT --to 10.0.0.2:80
Rejestrator posiada plik firewall z następującymi regułkami
Kod: Zaznacz cały
#! /bin/sh
/bin/echo 1 > /proc/sys/net/ipv4/ip_forvard
.
#masa innych zabezpieczen
.
# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -t mangle -F
iptables -t mangle -X
# ustawienie domyslnej polityki
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH ACK -j DROP
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN -j DROP
iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN,URG,PSH -j DROP
# utrzymanie polaczen nawiazanych
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A INPUT -p tcp -s 0/0 --sport 1024:65535 -d 10.0.0.2 --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -s 10.0.0.2 --sport 80 -d 0/0 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
Jeśli jestem w sieci lokalnej za serwerem i adres mojej karty sieciowej to: 10.0.0.100, to wywołując w przeglądarce
adres: 10.0.0.2 - otwiera się mi strona z konfiguracją kamer.
adres: 10.0.0.2:4000 - otwiera się mi strona z konfiguracją kamer
Jeśli jestem podłączony za routerem i adres mojej karty sieciowej to: 192.168.1.100, to wywołując w przeglądarce
adres: 192.168.1.254:4000 - nie otwiera się strona
Analogicznie jeśli jestem poza biurem (w domu) i łączę się zdalnie poprzez internet wywołując: <ip neostrada biuro>:4000 - nie otwiera się strona
Bardzo proszę o pomoc, walczę z tym już chwilkę i nie mam pomysłu dlaczego może to nie działać.
Pozdrawiam
