Weil mir das jetzt zu doof wird, tu' ich hier einfach mal das rein, was ich als Referenzimplementation fuer deinen Fall ansehen wuerde (vermutlich mache ich damit deine Hausaufgaben, aber naja). Inklusive der offensichtlich unsinnigen
http->db-Verbindungen.
Fix' diese Punkte, probier's aus und verstehe, was da was tut. Und berichte mir, wenn da etwas nicht das tut, was ich geplant hatte. FTP wird vermutlich kaputt sein, weil es zusaetzliche Verbindungen aufmacht, die man nur per deep packet inspection erkennen kann (
-m helper, etc.). Das ist ein Grund, warum man das nicht verwendet, sondern stattdessen SCP oder SFTP (beides durch SSH getunnelt, verschluesselt und aus Firewall-Sicht leicht greifbar).
Aus Router-Sicht ist momentan jeder auf der Seite des externen Interfaces ein normaler Benutzer. In der Regel will man das, evtl. mit Einschraenkungen bezueglich privater Netze (die extern nichts zu suchen haben) oder vor allem
127/8.
Fuer den Router gemaess Skizze:
Code: Alles auswählen
#!/bin/sh
ip_ext=10.1.13.128
ip_int=10.22.0.1
ip_www=10.22.0.21
ip_db=10.22.0.22
ip_admin=192.168.1.56
port_ssh_www=22021
port_ssh_db=22022
if_ext=eth0
if_int=eth1
iptables-restore <<EOF
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
# prerouting
# ssh dnat
-A PREROUTING -m state --state NEW -i $if_ext -p tcp --dport $port_ssh_www -j DNAT --to-destination $ip_www:22
-A PREROUTING -m state --state NEW -i $if_ext -p tcp --dport $port_ssh_db -j DNAT --to-destination $ip_db:22
# other dnat
# FIXME: http etc. -> db?!
-A PREROUTING -m state --state NEW -i $if_ext -p tcp --dport 21 -j DNAT --to-destination $ip_db
-A PREROUTING -m state --state NEW -i $if_ext -p tcp --dport 80 -j DNAT --to-destination $ip_db
-A PREROUTING -m state --state NEW -i $if_ext -p tcp --dport 443 -j DNAT --to-destination $ip_db
# postrouting
-A POSTROUTING -o $if_ext -j MASQUERADE
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
# input
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state NEW -i $if_ext -s $ip_admin -p tcp --dport 22 -j ACCEPT
# forward
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
# ssh from DNAT
-A FORWARD -m state --state NEW -d $ip_www -p tcp --dport 22 -j ACCEPT
-A FORWARD -m state --state NEW -d $ip_db -p tcp --dport 22 -j ACCEPT
# other from DNAT
# FIXME: http etc. -> db?!
-A FORWARD -m state --state NEW -d $ip_db -p tcp --dport 21 -j ACCEPT
-A FORWARD -m state --state NEW -d $ip_db -p tcp --dport 80 -j ACCEPT
-A FORWARD -m state --state NEW -d $ip_db -p tcp --dport 443 -j ACCEPT
# output
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
EOF
Fuer die DB gemaess Skizze:
Code: Alles auswählen
#!/bin/sh
ip_int=10.22.0.1
ip_www=10.22.0.21
ip_db=10.22.0.22
ip_users=192.168.1/24
ip_admin=192.168.1.56
iptables-restore <<EOF
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
# input
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state NEW -s $ip_admin -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -s $ip_users -p tcp --dport 21 -j ACCEPT
-A INPUT -m state --state NEW -s $ip_users -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -s $ip_users -p tcp --dport 443 -j ACCEPT
# output
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
EOF
Fuer den Webserver gemaess Skizze:
Code: Alles auswählen
#!/bin/sh
ip_int=10.22.0.1
ip_www=10.22.0.21
ip_db=10.22.0.22
ip_users=192.168.1/24
ip_admin=192.168.1.56
iptables-restore <<EOF
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
# input
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state NEW -s $ip_admin -p tcp --dport 22 -j ACCEPT
# output
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -m state --state NEW -d $ip_db -p tcp --dport 3306 -j ACCEPT
COMMIT
EOF
Viel Spass damit.
Gruss Cae
