nat + rederect ports

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 10:16:43

Доброго всем дня.
Ситуяция такова:
/etc/natd.conf

Код: Выделить всё

interface em0
same_ports yes
use_sockets yes
#port 8669
#log yes
#log_denied no
redirect_port tcp 197.197.197.8:25 25
redirect_port tcp 197.197.197.8:110 110
/etc/rc.firewall

Код: Выделить всё

...
${FwCMD} add divert natd ip from 197.197.197.0/24 to any out via em0
${FwCMD} add divert natd ip from any to 77.74.11.18 in via em0
...
так вот. Без Nat'a в фаерволе не пашет инет, но пашет редирект портов, а при его (Nat'a) присутствии в фаере пашет инет, но не пашет редирект.
Подскажите как это победить?

З.Ы. Пробывал rinetd - эта дрянь пробрасывает порты, НО вместо ИПа соединившегося снаружи лепит ИП внутренний сетевухи на роутере. А это не приемлимо :(

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2460 рублей (8 CPU, 8Gb RAM, 2x500Gb HDD, RAID 3ware 9750):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
dikens3
подполковник
Сообщения: 4856
Зарегистрирован: 2006-09-06 16:24:08
Откуда: Нижний Новгород
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение dikens3 » 2007-11-01 10:40:28

Что в логах?
Лучше установить FreeBSD, чем потратить 30 лет на Linux'ы и выяснить какой из них хуже.

Аватара пользователя
-cat-
сержант
Сообщения: 202
Зарегистрирован: 2007-07-31 0:05:56
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение -cat- » 2007-11-01 10:43:46

Просто по приколу:
197.197.197.0/24 действительно твоя сеть?
Показывай

Код: Выделить всё

ipfw show

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 10:56:14

Даже так делал

Код: Выделить всё

${FwCMD} add divert natd ip from 197.197.197.0/24 to any out via em0
${FwCMD} add divert natd ip from any to 77.74.11.18 in via em0
${FwCMD} add allow ip from all to all
результат тот что писал выше.

197.197.197.0/24 - действительно моя сетка (досталась в наследство).

У меня такое чувство,что для редиректа нужен некий иной экзкмпляр ната...

Аватара пользователя
-cat-
сержант
Сообщения: 202
Зарегистрирован: 2007-07-31 0:05:56
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение -cat- » 2007-11-01 10:59:45

kapa6ac писал(а):add allow ip from all to all
- не надо я под стол упаду

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 11:01:15

-cat- писал(а):
kapa6ac писал(а):add allow ip from all to all
- не надо я под стол упаду
фигли делать... от безисходности... :?

Аватара пользователя
-cat-
сержант
Сообщения: 202
Зарегистрирован: 2007-07-31 0:05:56
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение -cat- » 2007-11-01 11:08:45

наверное писать

Код: Выделить всё

allow ip from any to any

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 11:11:46

-cat- писал(а):наверное писать

Код: Выделить всё

allow ip from any to any
Очепятался )

Аватара пользователя
-cat-
сержант
Сообщения: 202
Зарегистрирован: 2007-07-31 0:05:56
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение -cat- » 2007-11-01 11:32:28

Отдельный natd для редиректа не нужен.
Скорее всего ошибка где-то в natd.conf
попробуй

Код: Выделить всё

${FwCMD} add divert natd ip from 197.197.197.0/24 to any out via em0
${FwCMD} add divert natd ip from any to 77.74.11.18 in via em0
${FwCMD} add allow ip from any to any
в rc.conf

Код: Выделить всё

natd_enable="YES"
natd_interface="em0"
natd_flags="-same_ports -redirect_port tcp 197.197.197.8:25 25
и перегрузи natd

Код: Выделить всё

/etc/rc.d/natd restart

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 11:55:34

Код: Выделить всё

# /etc/rc.d/ipfw restart
net.inet.ip.fw.enable: 1 -> 0
Stopping natd.
Waiting for PIDS: 95690, 95690, 95690, 95690, 95690.
Starting divert daemons: natdFlushed all rules.
00100 divert 8668 ip from 197.197.197.0/24 to any out via em0
00200 divert 8668 ip from any to 77.74.11.18 in via em0
00300 allow ip from any to any
Firewall rules loaded.
Фигвам. Не хотит работать - инет есть проброса нет ((
Убираю две строки ната из фаера - есть проброс а инета нет.

Аватара пользователя
-cat-
сержант
Сообщения: 202
Зарегистрирован: 2007-07-31 0:05:56
Контактная информация:

Re: nat + rederect ports

Непрочитанное сообщение -cat- » 2007-11-01 13:15:17

Больше всего удивляет
kapa6ac писал(а):Убираю две строки ната из фаера - есть проброс а инета нет.
ничего не крутится в стиле прокси?
tcpdump и смотреть как и почему.

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 13:25:30

Да. Крутится, в стиле squid.
А как он к этому относится?

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 13:54:04

Потушил squid - результат не изменился ((

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 14:29:52

Ситуевину решил вот так:

Код: Выделить всё

FwCMD="/sbin/ipfw"

${FwCMD} -f flush
${FwCMD} add divert natd ip from 197.197.197.0/24 to any out via em0
${FwCMD} add skipto 1000 tcp from any to 77.74.11.18 dst-port 25
${FwCMD} add divert natd ip from any to 77.74.11.18 via em0
${FwCMD} 1000 add allow ip from any to any
но думается мне это решение через попу в рукава... :cry:
Что скажут знатоки?

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 14:43:05

Чиорт!
За что боролся на то и напоролся!
Входящие запросы со стороны Инета на внутренних серверах воспринимаются как запросы от внутреннего интерфейса роутера.
Подскажите как быть??

Аватара пользователя
kapa6ac
мл. сержант
Сообщения: 146
Зарегистрирован: 2007-09-19 10:33:02

Re: nat + rederect ports

Непрочитанное сообщение kapa6ac » 2007-11-01 16:14:49

Всем спасибо за помощь.
Проблема решена.
Дело было в дефаут гейтвее на машине на которую осуществляется проброс.
:P