Помогите разобраться с iptables

parel77	# 3 года, 5 месяцев назад
Темы: 17 Сообщения: 74 Участник с: 27 марта 2012	Как то по тихоньку начал вникать глубже в iptables , некоторые моменты не могу понять Итак : Шлюз на CentOS Eth0 - 192.168.0.2 - в сторону локалки Eth1 - 192.168.1.35 - в сторону роутера на котором поднят интернет iptables # Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018 mangle :PREROUTING ACCEPT [13330219394:9106032553640] :INPUT ACCEPT [2417708571:1608766969141] :FORWARD ACCEPT [10668566174:7374275998486] :OUTPUT ACCEPT [2565098896:1652919713626] :POSTROUTING ACCEPT [13185219105:9024699975679] COMMIT # Completed on Mon Jun 18 15:28:44 2018 # Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018 nat :PREROUTING ACCEPT [541424774:145518558527] :POSTROUTING ACCEPT [17008858:907018024] :OUTPUT ACCEPT [49996998:3010651148] -A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.116:3389 -A PREROUTING -i eth1 -p tcp -m tcp --dport 6610 -j DNAT --to-destination 192.168.0.117:3389 -A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.35 COMMIT # Completed on Mon Jun 18 15:28:44 2018 # Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018 *filter :INPUT ACCEPT [993:272731] :FORWARD DROP [0:0] :OUTPUT ACCEPT [936:278827] :L - [0:0] :l - [0:0] -A INPUT -i eth1 -p tcp -m tcp --dport 3389 -j ACCEPT -A INPUT -p tcp -m tcp --dport 3389 -m state --state NEW -m recent --set --name rdp --rsource -j ACCEPT -A INPUT -i eth1 -p tcp -m tcp --dport 6610 -j ACCEPT -A FORWARD -d 192.168.0.116/32 -i eth1 -j ACCEPT -A FORWARD -s 192.168.0.116/32 -j ACCEPT -A FORWARD -s 192.168.0.28/32 -j ACCEPT -A FORWARD -s 192.168.0.29/32 -j ACCEPT -A FORWARD -s 192.168.0.56/32 -j ACCEPT -A FORWARD -s 192.168.0.57/32 -j ACCEPT -A FORWARD -s 192.168.0.58/32 -j ACCEPT -A FORWARD -s 192.168.0.1/32 -j ACCEPT -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -p udp -m udp --dport 53 -j ACCEPT -A FORWARD -p tcp -m multiport --dports 25,110 -j ACCEPT -A FORWARD -s 192.168.0.156/32 -j ACCEPT -A FORWARD -s 192.168.0.179/32 -j ACCEPT -A FORWARD -p tcp -m multiport --dports 995 -j ACCEPT -A FORWARD -s 192.168.0.89/32 -j ACCEPT -A FORWARD -s 192.168.0.26/32 -j ACCEPT -A FORWARD -s 192.168.0.32/32 -j ACCEPT -A FORWARD -s 192.168.0.35/32 -j ACCEPT -A FORWARD -s 192.168.0.117/32 -j ACCEPT -A FORWARD -d 192.168.0.117/32 -i eth1 -j ACCEPT -A FORWARD -s 192.168.0.10/32 -j ACCEPT -A FORWARD -s 192.168.0.114/32 -j ACCEPT -A FORWARD -s 192.168.0.118/32 -j ACCEPT -A FORWARD -s 192.168.0.30/32 -j ACCEPT -A FORWARD -s 192.168.0.23/32 -j ACCEPT -A FORWARD -s 192.168.0.22/32 -j ACCEPT -A FORWARD -s 192.168.0.0/23 -j ACCEPT COMMIT # Completed on Mon Jun 18 15:28:44 2018 1) Прав ли я - Из сети на порту Eth 0 попдает в таблицу nat в PREOROUTING - filter FORWARD - nat PASTROUTING - internet?

# 3 года, 5 месяцев назад

Сообщения: 74

Участник с: 27 марта 2012

Как то по тихоньку начал вникать глубже в iptables , некоторые моменты не могу понять
Итак :

Шлюз на CentOS

Eth0 - 192.168.0.2 - в сторону локалки
Eth1 - 192.168.1.35 - в сторону роутера на котором поднят интернет

iptables

# Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018
*mangle
:PREROUTING ACCEPT [13330219394:9106032553640]
:INPUT ACCEPT [2417708571:1608766969141]
:FORWARD ACCEPT [10668566174:7374275998486]
:OUTPUT ACCEPT [2565098896:1652919713626]
:POSTROUTING ACCEPT [13185219105:9024699975679]
COMMIT
# Completed on Mon Jun 18 15:28:44 2018
# Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018
*nat
:PREROUTING ACCEPT [541424774:145518558527]
:POSTROUTING ACCEPT [17008858:907018024]
:OUTPUT ACCEPT [49996998:3010651148]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.116:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 6610 -j DNAT --to-destination 192.168.0.117:3389
-A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.35
COMMIT
# Completed on Mon Jun 18 15:28:44 2018
# Generated by iptables-save v1.4.7 on Mon Jun 18 15:28:44 2018
*filter
:INPUT ACCEPT [993:272731]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [936:278827]
:L - [0:0]
:l - [0:0]
-A INPUT -i eth1 -p tcp -m tcp --dport 3389 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 3389 -m state --state NEW -m recent --set --name rdp --rsource -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 6610 -j ACCEPT
-A FORWARD -d 192.168.0.116/32 -i eth1 -j ACCEPT
-A FORWARD -s 192.168.0.116/32 -j ACCEPT
-A FORWARD -s 192.168.0.28/32 -j ACCEPT
-A FORWARD -s 192.168.0.29/32 -j ACCEPT
-A FORWARD -s 192.168.0.56/32 -j ACCEPT
-A FORWARD -s 192.168.0.57/32 -j ACCEPT
-A FORWARD -s 192.168.0.58/32 -j ACCEPT
-A FORWARD -s 192.168.0.1/32 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -p tcp -m multiport --dports 25,110 -j ACCEPT
-A FORWARD -s 192.168.0.156/32 -j ACCEPT
-A FORWARD -s 192.168.0.179/32 -j ACCEPT
-A FORWARD -p tcp -m multiport --dports 995 -j ACCEPT
-A FORWARD -s 192.168.0.89/32 -j ACCEPT
-A FORWARD -s 192.168.0.26/32 -j ACCEPT
-A FORWARD -s 192.168.0.32/32 -j ACCEPT
-A FORWARD -s 192.168.0.35/32 -j ACCEPT
-A FORWARD -s 192.168.0.117/32 -j ACCEPT
-A FORWARD -d 192.168.0.117/32 -i eth1 -j ACCEPT
-A FORWARD -s 192.168.0.10/32 -j ACCEPT
-A FORWARD -s 192.168.0.114/32 -j ACCEPT
-A FORWARD -s 192.168.0.118/32 -j ACCEPT
-A FORWARD -s 192.168.0.30/32 -j ACCEPT
-A FORWARD -s 192.168.0.23/32 -j ACCEPT
-A FORWARD -s 192.168.0.22/32 -j ACCEPT
-A FORWARD -s 192.168.0.0/23 -j ACCEPT
COMMIT
# Completed on Mon Jun 18 15:28:44 2018

1) Прав ли я - Из сети на порту Eth 0 попдает в таблицу nat в PREOROUTING - filter FORWARD - nat PASTROUTING - internet?

kurych	# 3 года, 5 месяцев назад
Темы: 0 Сообщения: 1394 Участник с: 06 ноября 2011	Вы какой-то урезанный кусочек выдернули, да еще никак не связанный с вашим недоконфигом. Найдите в гугле картинки по запросу типа "linux iptables packet flow" и смотрите, что там после чего

parel77	# 3 года, 5 месяцев назад
Темы: 17 Сообщения: 74 Участник с: 27 марта 2012	Я же написал , вникаю глубже в iptables Мне просто нужно , чтоб кто то немного пояснил . А ответы в стиле типа забанили в гугле мне не надо