Newsgroup: it.comp.reti.locali
Titolo: Forwarding servizio telnet

Salve
Ho necessita' di girare le richieste di telnet fatte ad un determinato ip
ad un altra macchina .
Ho settato le regole di iptables per il forwarding sulla porta e ho
abilitato il forwarding , per il ping non c'e' problema ma quando tento di
telnettare non va'.
Posto la mia configurazione in modo da farvi capire bene la struttura
della rete:
#!/bin/bash
IPT="/usr/sbin/iptables"
modprobe ip_nat_ftp
# Pulizia delle CATENE
iptables -F
iptables -t nat -F
iptables -t mangle -F
# Policy di default per la TABELLA *INPUT*
$IPT -P INPUT DROP
# Policy di default per la TABELLA *FORWARD*
$IPT -P FORWARD DROP
# Policy di default per la TABELLA *OUTPUT*
$IPT -P OUTPUT ACCEPT
# Accetta pacchetti in ingresso per connessioni esistenti ESTABLISHED
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Abilita il transito dei pacchetti provenienti dalla rete LAN
$IPT -A FORWARD -s 
10.0.0.0/24
 -j ACCEPT
# Abilita il transito dei pacchetti per connessione esistenti ESTABLISHED
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Abilita protocollo ICMP per interfaccia loopback (lo)
$IPT -A INPUT -i lo -p icmp -j ACCEPT
# Abilita protocollo ICMP per interfaccia LAN (eth1)
$IPT -A INPUT -i eth1 -p icmp -j ACCEPT
$IPT -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT
# Test abilitazione telnet
$IPT -A FORWARD -p tcp -i eth1 --dport 23 -j ACCEPT
$IPT -A INPUT -i eth1 -p tcp --dport 23 -j ACCEPT
# Abilita porta 67 per server DHCP su rete interna LAN (eth1)
$IPT -A INPUT -i eth1 -p udp --dport 67 -j ACCEPT
# Abilita la navigazione tramite NATTING/MASQUERADING
$IPT -t nat -A POSTROUTING -s 
10.0.0.0/24
 -o eth0 -j MASQUERADE
# Abilita IP_FORWARD
echo 1 > /proc/sys/net/ipv4/ip_forward
# Test natting IP VIRTUALE
$IPT -A PREROUTING -t nat -p tcp -d 10.2.0.200 -j DNAT --to 10.0.0.124
$IPT -A PREROUTING -t nat -p icmp -d 10.2.0.200 -j DNAT --to 10.0.0.124
$IPT -A PREROUTING -t nat -p udp -d 10.2.0.200 -j DNAT --to 10.0.0.124
#$IPT -t nat -A PREROUTING -d 10.2.0.200 -p tcp -j DNAT --to 10.0.0.199
Ogni consiglio e' ben accetto.
Grazie.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 $IPT -A PREROUTING -t nat -p tcp -d 10.2.0.200 -j DNAT --to 10.0.0.124
Domanda: le richieste telnet entrano da eth1 o da eth0?
bye G.L.

 bye G.L.
Innanzitutto grazie del supporto.
Le richieste entrano da eth1


 Le richieste entrano da eth1
E dove escono, sempre su eth1?
bye G.L.

 bye G.L.
Si.
Perdonami per le informazioni rateizzate ;) non ricordo se l'ho detto
prima comunque con il ping funziona ho settato tcp e udp con le stesse
regole che ho dato al ping ma non va.


 settato tcp e udp con le stesse regole che ho dato al ping ma non va.
Con linux ho visto che c'e' qualche problema, quando si tenta di
effettare un DNAT del genere con l'intento di far "rimbalzare" il
tutto sulla stessa interfaccia, in ingresso e in uscita...
Non saprei dirti. Spiega se puoi il perche' di questa esigenza,
magari si trovano vie alternative. Oppure, qualche trucco strano
sempre con iptables.
bye G.L.

 bye G.L.
Purtroppo uso la stessa interfaccia per questioni pratiche nel senso...
Devo implemenatare un ambiente in cui quando un qualsiasi utente effettua
una richiesta alla macchina A (che puo' essere telnet ftp o qualsiasi
altra cosa)e la macchina a la deve smistare a una macchina B con ip
differente.
Sto' usando la stessa interfaccia perche' fisicamente in questo momento
non ne ho altre per fare i test , l'altra interfaccia (eth0) non posso
toccarla in questo momento.
Se mi dici che questo e' un problema che hai gia' visto magari faccio un
test cercando un altra ethernet.
Grazie ancora dell'aiuto.


 differente.
Prima di essere certo di aver dato una risposta corretta e non
invece fuorviante, chiedo: la lan 
10.2.0.0/24
 esiste, e nel caso
in quale interfaccia e' attestata sul firewall? Oppure semplicemente
la lan 
10.2.0.0/24
 non esiste da nessuna parte, e quindi qualunque
richiesta indirizzata verso di essa, invece di farla forwardare verso
l'internet come di default farebbe il firewall, si desidera che venga
dest-nattata in modo che vada a contattare l'host 10.0.0.124 interno
alla lan? Ho capito bene?
bye G.L.

 bye G.L.
Si hai capito bene quell'indirizzo non esiste l'ho preso solo per testare.
La questione e' esattamente come hai descritto.


 La questione e' esattamente come hai descritto.
C'ho provato proprio adesso, a fare la stessa cosa. Non funge...
Sto pensando come risolvere, e farei cosi': installa zebedee
tunnel sul firewall, e poi utilizza il target redirect, che serve
a redirezionare la richiesta su un servizio che ascolta localmente sul
firewall, anziche' usare il target dnat. In altre parole, il target
redirect (usato ad esempio per il transparent proxy, o anche per...
transparent dns e smtp :-) ) redirige le richieste verso un certo ip
ed un certa porta (nel nostro caso 
10.2.0.200:23
) alla porta in ascolto
del tunnel definito sul server zebedee sul firewall, il quale a sua
volta stabilisce una connessione col server telnet sulla lan.
Per bypassare il problema, mi sposterei un po' piu' in alto nella pila
iso/osi, insomma...  ;-)
bye G.L.

 bye G.L.
Grazie oggi faccio delle prove e ti faccio sapere.
Grazie ancora dell'aiuto.
