Zobrazit příspěvky
1
Server / Re:Nefunkční Nginx proxy_bind $remote_addr transparent
« kdy: 13. 11. 2025, 12:38:10 »
Dobre,zeptam se jinak. Proc mi to nefunguje ani s jednim ze dvou mangleTPROXY/natREDIRECT routovacim pravidlem v iptables "-I PREROUTING -p tcp -m tcp --sport 443 -s 192.168.5.103 -j..." a jake (nebo dalsi?) routovaci pravidlo bych tam mel mit?
rozsahy v routovaci tabulce mam, jinak by mi nefungoval podobny scenar tunelovani trafficu na podobny(dokonce i stejny) server uvnitr site na druhym konci tunelu ale v rezimu port forwardingu (nginx je vyskrnut a resi to NAT PREROUTING - DNAT 192.168.5:123) - default routa je na odchozim eth0 vps, 192 je na vpn interface a 10. je podobna routa jako na vpn akorat s scope link a src 10.... navic
a ted me trochu znejistila jedna dve tri veci. druha vec :TPROXY, v tech dvou pravidlech je u REDIRECT --to-port povinne a u kdyz odhlednu, ze u TPROXY se to pro zmenu
jmenuje --on-port, tak on-port ma volbu 0, coz je It is a required option, 0 means the new destination port is the same as the original. To jsem taky zkousel ale bez vysledku
(man iptables extensions, odstavec TPROXY nebo REDIRECT)
preci kdyz na to koukam, tak chodi pakety s IP adresami 192.168.5.1:4433 (pevne dany par) a 45.6.7.8:XXX (internetova adresa a cislo portu je nahodne a jeste k tomu jde o "prevzatou adresu" kterou prave nginx vyplni jako source diky proxy bind a transparent) a kdyz na tohle zacne koukat routing tabulka, tak zjisti, ze bez iptables pravidel v ve smeru z nginx do site projde OK, routa do 192 existuje, coz potvrzuje to, ze server vrati odpoved(mysleno Tcp syn+ack) a dokonce dorazi opet na vpn interface pres tunel. ale zde routing vidi, ze DST je internetova adresa a ze bez dodatecneho pravidla by odesel paket rovnou do internetu a nikoliv do nginxu --- to jsem ani neocekaval, ze to nginx prijme bez zadnoho pravidla, ale zahadou je mi, proc pravidlo redirect nezabirat (hit count 0) a TPROXY nezsfunguje
proc to pisu, proc me to znejistilo - prvni vec co me znejistila (omlouvam se za retrospektivu) jsou prave ta cisla portu : a jestli to nedelam obracene nespravne -
rozsahy v routovaci tabulce mam, jinak by mi nefungoval podobny scenar tunelovani trafficu na podobny(dokonce i stejny) server uvnitr site na druhym konci tunelu ale v rezimu port forwardingu (nginx je vyskrnut a resi to NAT PREROUTING - DNAT 192.168.5:123) - default routa je na odchozim eth0 vps, 192 je na vpn interface a 10. je podobna routa jako na vpn akorat s scope link a src 10.... navic
a ted me trochu znejistila jedna dve tri veci. druha vec :TPROXY, v tech dvou pravidlech je u REDIRECT --to-port povinne a u kdyz odhlednu, ze u TPROXY se to pro zmenu
jmenuje --on-port, tak on-port ma volbu 0, coz je It is a required option, 0 means the new destination port is the same as the original. To jsem taky zkousel ale bez vysledku(man iptables extensions, odstavec TPROXY nebo REDIRECT)
preci kdyz na to koukam, tak chodi pakety s IP adresami 192.168.5.1:4433 (pevne dany par) a 45.6.7.8:XXX (internetova adresa a cislo portu je nahodne a jeste k tomu jde o "prevzatou adresu" kterou prave nginx vyplni jako source diky proxy bind a transparent) a kdyz na tohle zacne koukat routing tabulka, tak zjisti, ze bez iptables pravidel v ve smeru z nginx do site projde OK, routa do 192 existuje, coz potvrzuje to, ze server vrati odpoved(mysleno Tcp syn+ack) a dokonce dorazi opet na vpn interface pres tunel. ale zde routing vidi, ze DST je internetova adresa a ze bez dodatecneho pravidla by odesel paket rovnou do internetu a nikoliv do nginxu --- to jsem ani neocekaval, ze to nginx prijme bez zadnoho pravidla, ale zahadou je mi, proc pravidlo redirect nezabirat (hit count 0) a TPROXY nezsfunguje
proc to pisu, proc me to znejistilo - prvni vec co me znejistila (omlouvam se za retrospektivu) jsou prave ta cisla portu : a jestli to nedelam obracene nespravne -
- 1 je spravne ze tproxy/redirect pravidla jsou specifikovana pres src ip a src port (192.168.5 ...:4433) ??
- 2.mam pocit ze --toport u REDIRECT je zjevne spatne, protoze na teto strane jde o nahodny port a tim padem smysl asi bud emit jen TPROXY --on-port 0 ?? coz je prave to "same as original"
, nějaké LItujeme, přistup odepřen po 5minutovém psaní textu mě už nevyvede z míry, už to mám nacvičené: hosts,odpojit,připojit, reload, zkopírovat, hosts, připojit, login,zpět, vložit .odeslat
