ports umleiten

[madd]

hi,

ich möchte einen einen port umleiten ich stelle das mal hier graphisch da.

Mozilla < [firma] port AA ---> port AA[home] port BB --->port BB[proxy] > Internet

mir ist es egal ob das per ssh oder einfach per maqsquerade ist. ich habe manches über ssh efunden aber irgendwie scheine ich zu dooof dafür zu sein oder nicht die richtige anleitung gefunden zu haben, vielleicht kann mir ja jemand helfen.

danke

grüße madd

[Raoul]

Verstehe ich das richtig?

Du willst von Mozilla in der Firma auf Deinen Rechner, um über dessen Proxy ins Internet zu kommen???

Irgendwo scheint es da wohl eine Firewall zu geben, denn sonst hättest Du ja kein Problem. Aber wo ist diese Firewall?

Sonst einfach bei Mozilla deinen Proxy mit Port angeben, der bringt Dich dann ins WWW.
Wenn Du bei Deiner Firma nur auf bestimmten Ports rauskommst, musst Du Deinem Proxy sagen, dass er auf dem Port horchen soll.

Oder versteh ich Dich immer noch völlig falsch?

Raoul

[madd]

nein nicht ganz so, ich habe keinen proxy (will ich auch nicht) ich möchte das auf [home]:AA alles nach [proxy]: BB umgeleitet wird um zurück [home] ist nur der router der alles vermittelt.
die firewall ist hier in der firma, und auch bei mir auf [home], aber die kann ich ja anpassen.

grüße madd

[Raoul]

Ah so...

Code: Alles auswählen

iptables -A FORWARD -i pppAA -o pppBB -m multiport --dport 8080 -d IP.DES.PRO.XY -j ACCEPT

Also so in der Art: pppAA ist das Interface, über das Du auf deinen Rechner kommst, über pppBB gehst Du wieder raus, -d (Destination) ist der Proxy, und dport (Destinationport) der Port, auf dem er liegt.

Hab ich's jetzt geblickt?

Raoul

[madd]

ja das klingt ganz gut, aber gehen tut es (noch) nicht ich weiß noch nicht wie dem routing verklikkern soll das er von (input) ppp0 :21 auf (output) ppp0:80 umleiten soll.
aktuell sieht mein firewall so aus
[code]
#!/bin/sh
#
#alle Regeln loeschen
iptables -F
#defienerter zustand erstellen
iptables -t nat -F
# Destination-unreachable verarbeitung
iptables -A INPUT -i ppp0 -p icmp --icmp-type destination-unreachable -j ACCEPT
#"ftp-port" für die umleitung für "firma" ports
iptables -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -i ppp0 -p udp --dport 21 -j ACCEPT
#routing von extern zum proxy-extern "firma-routing"
iptables -A FORWARD -i ppp21 -o ppp80 -m multiport -p tcp --dport 80 -d 217.5.97.73 -j ACCEPT
...
[/code]
die ppp214 und 80 habe ich ja nit also dürfte das nicht gehen, (ist auch so) wenn ich schreibe ppp0:21 dann merkert er das er das nicht verarbeiten kann.
ich werde jetzt nach feierabend nochmal am dem schleppi gucken ob ich was finde, aber viel hoffung habe ich nit.
wie ist es mit dem parameter -p tcp, muß ich vielleicht mal udp probieren? also ganz ohne -p blabla will er nit.


grüße madd

[spiffi]

Code: Alles auswählen

iptables -A FORWARD -i pppAA -o pppBB -m multiport --dport 8080 -d IP.DES.PRO.XY -j ACCEPT

Äh, ich blick nicht ganz, was Du mit dieser Regel erreichen willst, Raoul. Mit Portforwarding hat das jedenfalls nichts zu tun. Und was soll der '-m multiport'? Auf multiport sollte normalerweise eine Liste von Ports folgen (mittels --dports|sports|ports port[,port[,port...]]).

madd, Portforwarding geht per DNAT in der PREROUTING Kette der nat Tabelle.

Code: Alles auswählen

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 21 -j DNAT --to 217.5.97.73:80

[madd]

ja ich bin auch schon auf das prerouting gekommen, so ähnlich hatte ich es auch wie du es jetzt hast. bwenn es funkt melde ich mich nochmal.

danke auf jedenfall schon mal.

[spiffi]

Mußt nur aufpassen, daß die umgeleiteten Pakete nicht in der FORWARD-Chain geblockt werden. Gezieltes Durchlassen der Pakete ginge etwa mit folgenden Regeln:

Code: Alles auswählen

# FIRMEN_IP anpassen! :-)
FIRMEN_IP="xx.xx.xx.xx"
PROXY_IP="217.5.97.73"

iptables -A FORWARD -p tcp -s $FIRMEN_IP -d $PROXY_IP --sport 21 --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p tcp -s $PROXY_IP -d $FIRMEN_IP --sport 80 --dport 21 -m state --state ESTABLISHED -j ACCEPT

[Raoul]

Danke spiffi, ich habe mal wieder gepennt!

Das war eine Weiterleitung in mein internes Netz, noch dazu falsch abgeschrieben... Deine Zeilen sind korrekt!

Raoul