Newsgroup: it.comp.os.linux.sys
Titolo: D-LINK DSL500 e iptables

D-LINK DSL500 e iptables
Salve a tutti,
Dovrei porre la solita domanda ma penso che vi scrivero un poema.
Ho il suddetto modem che è collegato direttamente ad una linxbox, a seguire
tramite la seconda scheda la LAN
Schema:
----------------------------------------------------------------
- internet con ip fisso xxx.xxx.xxx.xxx
- dsl500 con ip 192.168.1.254 -----> port redirection 192.168.1.1 da 1 a
65535.
- eth1 della linuxbox 192.168.1.1
- IPTABLES
- eth0 della linuxbox 192.168.0.254
- La LAN 
192.168.0.0/24
---------------------------------------------------------------------
ho usato questo script:
#!/bin/sh
#### DEBUGGING ###
set -x
### FLUSHING CHAIN ###
iptables -F
iptables -F -t nat
iptables -X
iptables -Z
## DEFAULT CHAIN
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P PREROUTING ACCEPT
### SETTING IPFORWARDING
/bin/echo "1" > /proc/sys/net/ipv4/ip_forward
### DISABLE RESPOND TO BROADCAST
/bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
### ENABLE BAD ERROR MESSAGE PROTECTION
/bin/echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
### DISABLE ICMP REDIRECT ACCEPTANCE
/bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects
### SETTING ANTISPOOFING PROTECTION #
/bin/echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
### DON'T RESPOND TO BROADCAST PINGS
/bin/echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
### DON'T RESPOND TO BROADCAST PINGS #######################################
/bin/echo "1" > /proc/sys/net/ipv4/conf/all/log_martians
# External Interface ########################
EXTIF="eth1"
# Internal Interface #######################
INTIF="eth0"
# Internal LAN IP
LANIN="
192.168.0.0/24
"
# external LAN IP
WANIN="192.168.1.1"
# Traceroute ports
TR_SRC_PORTS="32769:65535"
TR_DEST_PORTS="33434:33523"
# DNS servers
DNS1=""
DNS2=""
# RFC IPs
LOOPBACK="
127.0.0.0/8
"
CLASS_A="
10.0.0.0/8
"
CLASS_B="
172.16.0.0/12
"
CLASS_C="
192.168.0.0/16
"
CLASS_D_MULTICAST="
224.0.0.0/4
"
CLASS_E_RESERVED_NET="
240.0.0.0/5
"
### RULE
#======================== PREROUTING =============================
iptables -t nat -A PREROUTING -p tcp -d $WANIN --dport 80 -j DNAT --to
192.168.0.6:80
iptables -t nat -A PREROUTING -p tcp -d $WANIN --dport 21 -j DNAT --to
192.168.0.6:21
iptables -t nat -A PREROUTING -p tcp -d $WANIN --dport 20 -j DNAT --to
192.168.0.6:20
#/sbin/iptables -t nat -A PREROUTING -p tcp -d $WANIN --dport 80 -j DNAT
--to-dest 
192.168.0.2:80
#/sbin/iptables -t nat -A PREROUTING -p tcp -d $WANIN --dport 21 -j DNAT
--to-dest 
192.168.0.10:21
# ======================= SPOOFING ===============================
#/sbin/iptables -A INPUT -i $EXTIF -s $EGO -j DROP
iptables -A INPUT -i $EXTIF -s $CLASS_A -j DROP
iptables -A INPUT -i $EXTIF -s $CLASS_B -j DROP
iptables -A INPUT -i $EXTIF -s $CLASS_C -j DROP
iptables -A INPUT -i $EXTIF -s $CLASS_D_MULTICAST -j DROP
iptables -A INPUT -i $EXTIF -s $CLASS_E_RESERVED_NET -j DROP
iptables -A INPUT -i $EXTIF -d $LOOPBACK -j DROP
# ======================= LOOP RULE =======================
iptables -A INPUT -s $LOOPBACK -j ACCEPT
iptables -A OUTPUT -d $LOOPBACK -j ACCEPT
# ====================== TRACEROUTE ==============================
iptables -A OUTPUT -o $EXTIF -p udp --sport $TR_SRC_PORTS --dport
$TR_DEST_PORTS -m state --state NEW -j ACCEPT
# ======================= LAN IN OUT ================================
iptables -A INPUT -i $INTIF -s $LANIN -j ACCEPT
iptables -A OUTPUT -o $INTIF -d $LANIN -j ACCEPT
iptables -A FORWARD -s $LANIN -d 0/0 -j ACCEPT
#iptables -A FORWARD -s 0/0 -d $LANIN -p tcp --syn -j DROP
iptables -A FORWARD -s 0/0 -d $LANIN -j ACCEPT
# ======================= SERVICES ==========================
# DNS
iptables -A INPUT -i $EXTIF -p udp -s $DNS1 --sport 53 -j ACCEPT
iptables -A INPUT -i $EXTIF -p udp -s $DNS2 --sport 53 -j ACCEPT
# ====================== RULE ===================================
iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i $EXTIF -p udp -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j
ACCEPT
### POSTROUTING CHAIN
#######################################################
iptables -t nat -A POSTROUTING -o $EXTIF -s $LANIN -j MASQUERADE
##############################################################
IL Problema è questo
lo script funziona dall'estrno si ragiungono i vari servizi, tutta la lan
naviga senza problemi,
MA NEL MOMENTO IN CUI IO DIGITO IL MIO INDIRIZZO ESTERNO DAL INTERNO DELLA
LAN
NON RIESCO A VEDERE LE PAGINE DEL MIO WEB SERVER, POSSO SOLTANTO RAGIUNGERLE
DIGITANDO L'IP INTERNO DELLA LAN
SONO IMPAZZITO PER RISOLVERE
volevo configurare il modem dsl500 in modo da non routare ma non ci sono
riuscito.
datemi un aiutino se siete in grado...
ho configuro il modem in modo da impostare l'eth1 della linuxbox con con
l'ip
reale,
oppure aiutatemi a trovare la regola di OUTPUT che mi permetta di far
ritornare indoetro i pacchetti
Grazie anticipatamente per l'attenzione
Ciao a tutti.

 SONO IMPAZZITO PER RISOLVERE
E' una cosa normalissima del NAT. Non c'č nessun problema, funziona proprio
cosě.....
Bat

 ha scritto nel messaggio
news:oUwma.15164$T34.4...@news2.tin.it...


 SONO IMPAZZITO PER RISOLVERE
Inserisci una regola di NAT che dirotti tutto il traffico direttamente sul 
webserver in caso gli indirizzi sorgente apartengano alla lan:
es. i client sono 192.168.0.1 192.168.0.2 - webserver 192.168.1.1
iptables -t nat -A PREROUTING -p tcp -s 
192.168.0.0/24
 -d $WANIN --dport 80 
-j DNAT --to 
192.168.1.1:80
Ciao