Re: [gentoo-user-es] Reenvio de puertos y ftp con Firewall iptables

[Juan Facundo Suárez]

Lo que me parece que te está faltando, además de hacer el prerouting hacia las 
máquinas internas que dan los servicios, es adeptar el forward de cada una de 
ellas. Yo tengo un ejemplo con el vnc.

 Tenía en la red internet una máquina con win2000 haciendo un laburo. La dejé 
y la iba a controlas desde afuera. Básicamente era esto:

Iptables -A FORWARD -p tcp --dport 5900 -d 192.168.0.25 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 5900 -j DNAT --to 192.168.0.25

 y con esto, abría un vnc y le apuntaba a la ip de la máquina de conección a 
internet, y ésta, me redireccionaba a la máquina que yo quería ver.

El Thursday 01 April 2004 11:58, Xpctro escribió:
> Hola a tod@s,
>
> Tengo un firewall montado en el servidor linux, y todo va perfecto, a
> excepcion del reenvio de puertos y el ftp desde las maquinas internas .
> las reglas que tengo son las siguientes:
> ---------------------------------------------------------------------------
>-- #!/bin/sh
> # Script para arrancar el Firewall
>
> # limpiando
> iptables -F
> iptables -X
> iptables -Z
> iptables -t nat -F
>
> # politica por defecto
> iptables -P INPUT ACCEPT
> iptables -P OUTPUT ACCEPT
> iptables -P FORWARD ACCEPT
> iptables -t nat -P PREROUTING ACCEPT
> iptables -t nat -P POSTROUTING ACCEPT
>
>
> # permitimos que se conecten al servidor web ;)
> iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j ACCEPT
>
> # iniciamos el filtrado
>
> # port mapping
> #iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to
> 192.168.2.3
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 9090 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 4661 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 4661 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 4662 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 4662 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 4672 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 4672 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 4665 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 4665 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 4711 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 4711 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 27000:27039 -j DNAT
> --to 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 27000:27039 -j DNAT
> --to 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 2234 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 2234 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 5534 -j DNAT --to
> 192.168.2.2
> iptables -t nat -A PREROUTING -i eth0 -p udp --dport 5534 -j DNAT --to
> 192.168.2.2
>
> # permitimos las conexiones a localhost
> iptables -A INPUT -i lo -j ACCEPT
> iptables -A OUTPUT -o lo -j ACCEPT
>
> # abrimos el acceso al firewall desde la red local
> iptables -A INPUT -s 192.168.2.0/24 -i eth1 -j ACCEPT
>
> # filtramos lo que sale de la red local con FORWARD
> # HTTP
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 80 -j ACCEPT
> # HTTPS
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 443 -j ACCEPT
> # CVS
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 2401  -j
> ACCEPT # SMTP
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 25  -j ACCEPT
> # DNS
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 53  -j ACCEPT
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport 53  -j ACCEPT
> # POP3
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 110  -j ACCEPT
> # FTP
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 20:21  -j
> ACCEPT
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport 20:21  -j
> ACCEPT
> # PLESK
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 8443  -j
> ACCEPT # MSN MESSENGER
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 1863  -j
> ACCEPT # EMULE
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 4661  -j
> ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport 4661
> -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 4662
>  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport
> 4662  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp
> --dport 4672  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p
> tcp --dport 4672  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1
> -p tcp --dport 4665  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i
> eth1 -p udp --dport 4665  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24
> -i eth1 -p tcp --dport 4711  -j ACCEPT iptables -A FORWARD -s
> 192.168.2.0/24 -i eth1 -p udp --dport 4711  -j ACCEPT # SOULSEEK
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 2234  -j
> ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport 2234
> -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 5534
>  -j ACCEPT iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport
> 5534  -j ACCEPT # SYNC
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p tcp --dport 873  -j ACCEPT
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p udp --dport 873  -j ACCEPT
> # PING
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -p icmp --icmp-type any -j
> ACCEPT
> # el resto de puertos los cerramos
> iptables -A FORWARD -s 192.168.2.0/24 -i eth1 -j DROP
>
> # NAT
> iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE
>
> # activamos el ip forwarding
> echo 1 > /proc/sys/net/ipv4/ip_forward
>
> # mostramos mas info para ip dinamicas
> echo 2 > /proc/sys/net/ipv4/ip_dynaddr
>
> # desactivamos ExplicitCongestionNotification
> echo 0 > /proc/sys/net/ipv4/tcp_ecn
>
> # activa TCPsyncookies
> echo 1 > /proc/sys/net/ipv4/tcp_syncookies
>
> # activa Verificacion de ruta (evitamos el IPSpoofing :)
> for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
>     echo 1 > $f
> done
>
> # cerramos los accesos indeseados desde el exterior
> iptables -A INPUT -s 0.0.0.0/0 -i eth0 -p tcp --dport 1: -j DROP
> iptables -A INPUT -s 0.0.0.0/0 -i eth0 -p udp --dport 1: -j DROP
> ---------------------------------------------------------------------------
>--
>
> los modulos que cargo son:
> iptables
> iptable_filter
> ip_conntrack
> ip_conntrack_ftp
> ip_conntrack_tftp
> ip_conntrack_irc
> ipt_state
> iptable_nat
> ip_nat_ftp
> ip_nat_tftp
> ip_nat_irc
> ipt_MASQUERADE
> ipt_REDIRECT
> ipt_LOG
> ipt_REJECT
>
> El kernel es un 2.4.25_pre7-gss-r2
>
> He estado revisando documentacion y tutoriales en internet pero no
> consigo encontrar lo que tengo mal.
> ¿algun sabio consejo?
>
> Gracias por vuestra ayuda, y perdon por la extension del mensaje
> Xpctro ;)

-- 
Facundo Suárez
FDSoft SA
icq:121172697
jabber:faco@××××××××××.ar
msn:use_jabber@×××××××.com
Neuquén-Argentina

--
gentoo-user-es@g.o mailing list