Newsgroup: it.comp.os.linux.sys
Titolo: Problema di rete - configrazione di iptables

Salve a tutti
Possiedo un PC che fa da server con due schede di rete una wireless
wlan0 e un ethernet eth0, dalla wlan0 entra e esce il traffico
interenet ed è connessa ad un router adsl, con la eth0 invece ho fatto
una rete interna dove sono collegate una macchina virtuale vmware e
una macchina reale attraverso uno switch, sono entrambe macchine
windows. Sul server con il seguente script:
(Inizio script)
# Configurarezione NAT e MASQUERADING
#!/bin/sh
iptables="/sbin/iptables"
#Poco importante, indica solamente il percorso dell'eseguibile!
echo '0' > /proc/sys/net/ipv4/ip_forward
# Finchè tutto non é in ordine, niente forwarding
modprobe ip_tables
modprobe ip_conntrack
modprobe ip_conntrack_ftp ip_nat_ftp
modprobe iptable_nat
modprobe ipt_MASQUERADE
# Carichiamo i moduli piu importanti soprattutto NAT e MASQUERADE
iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 37862 -j DNAT --
to 
192.168.1.20:37862
iptables -A FORWARD -i wlan0 -p tcp --dport 37862 -d 192.168.1.20 -j
ACCEPT
iptables -t nat -A PREROUTING -i wlan0 -p udp --dport 37872 -j DNAT --
to 
192.168.1.20:37872
# iptables -A FORWARD -i wlan0 -p tcp --dport 37872 -d 192.168.1.20 -j
ACCEPT
iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 54491 -j DNAT --
to 
192.168.1.20:54491
iptables -A FORWARD -i wlan0 -p tcp  --dport 54491 -d 192.168.1.20 -j
ACCEPT
iptables -t nat -A PREROUTING -i wlan0 -p udp --dport 54491 -j DNAT --
to 
192.168.1.20:54491
# iptables -A FORWARD -i wlan0 -p udp --dport 54491 -d 192.168.1.20 -j
ACCEPT
# Configurazione porte per eMule e TORRENT
iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 3389 -j DNAT --
to 
192.168.1.20:3389
iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 3393 -j DNAT --
to 
192.168.1.26:3393
#configurazione per desktop remoto
iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE
# Aggiunge una regola alla catena di postrouting:
# tutti i pacchetti in uscita attraverso l'interfaccia wlan0
# dovranno essere mascherati.
iptables -I FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
# Accettiamo tutti i pacchetti appartenenti a connessioni già
iniziate
iptables -A FORWARD -s 
192.168.1.0/24
 -j ACCEPT
# Accettiamo il traffico generato dalla rete interna
iptables -A FORWARD -j DROP
# Tutto il resto é scartato
echo '1' > /proc/sys/net/ipv4/ip_forward
# Adesso che siamo in sicurezza, abilitiamo il passaggio dei pacchetti
(fine script)
faccio in modo che anche la rete interna esca su internet. Tutto
funziona bene, tranne una cosa, il desktop remoto verso una delle
macchine windows. Premetto che la prima macchina windows usa la porta
3389 la seconda usa la porta 3393 opportunemante modificata nel
registro di windows. La prima quella su vmware funziona cioé ci accedo
regolarmente dall'esterno col desktop remoto, mentre la seconda
macchina windows quella attaccata allo switch e che comunica col
server con la eth0 non funziona cioé non riesco ad accederci in
desktop remoto dall'esterno. Come mai? ho dimenticato di impostare
qualche regola nell'iptables?
Sia la macchina vmware che quella attacata allo switch appartegono
alla stessa sotto rete (192.168.1.x) si pingano e la rete interna
funziona regolarmente fra loro, però alla prima (vmware) riesco ad
accedere in desktop remoto, la seconda no, come mai?
grazie 1000
scusate se mi sono dilungato un po troppo..
G.

 accedere in desktop remoto, la seconda no, come mai?
Scusa la banalita': Hai messo l'eccezione nel firewall di windows della
macchina cui non accedi per aprire la porta non standard?
Fai una prova disabilitando il firewall di xp.
PS: se provi dall'interno della rete, ci vai, in desktop remoto?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


grazie per la risposta, ma questa prova l'avevo già fatta, addirittura
ho disabilitato proprio il firewall di windows...

 ho disabilitato proprio il firewall di windows...
Allora, visto che io continuo a pensare ad un problema dal lato win,
hai provato a scambiare le parti?
Cioe' far arrivare quello che ora funziona sulla 3393 e quello che
ora non va sulla 3389 e vedere se per caso ora il funzionamento e'
a rovescio e cio' che prima andava non va piu'?


 iptables -I FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
Non mi spiego, più che altro, a cosa serva una policy di catena
impostata a DROP se imposti una regola del genere.
Per il tuo problema, poi, c'è qualcosa che non mi torna: proverei
un
tcpdump -n -i eth0 port 3389
sul firewall mentre provi a connetterti dall'esterno per capire
cosa accade.

 con il seguente script:
io mi aiuterei con un tool tipo 
shorewall.net
Se mastichi e usi un po' di iptables a un certo punto conviene passare a 
qualcosa del genere, piuttosto che tenersi gli scriptoni 
ciao,
-- 
oggei