Zobrazit příspěvky
Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.
Přišel jsem si zde pro konkrétní radu a spousta teorie je pro mě zbytečná, protože se tím neživím a za měsíc to stejně zapomenu.Najděte si někoho, kdo vám to nakonfiguruje a bude spravovat. Firewall a NAT není něco, co by šlo jen tak nastavit podle rad na internetu, aniž byste tomu rozuměl, a dál se o to nestarat.
Tak se pokusím znovu. Na WAN interfejsu mám nahozenou maškarádu a potřebuji port 8080 přesměrovat na port 80 za tímto překladem adres. Port 8080 musí být dostupný/otevřený a port 80 ne.Přesně takhle se přece chová příklad, který jste sám posílal. Já bych jenom ten port 80 přesměroval na jiný por, než zrovna 8080, ať to není matoucí. Na libovolný port, kde nic nenaslouchá.
tato rada, prolínající se přes několik stran tohoto vlákna, mi od pana Jirsáka nepomohlaJá jsem v předchozím komentáři psal o routovacích tabulkách, psal jsem o rp_filteru. Nějak tu nevidím výpis vašich routovacích tabulek a rp_filteru. Jak vám asi můžu poradit, když tajíte informace, které jsou k vyřešení problému potřeba? V tom posledním výpisu, který jste sem dával, s největší pravděpodobností nestojí za filtrování paketů firewall. Což byste ostatně mohl ověřit třeba tím, že změníte výchozí politiku INPUTu z DROP na REJECT. Jsem přesvědčený, že se na výstupu nmapu nic nezmění a dál bude ukazovat filtered, přestože komunikaci aktivně odmítnutou REJECTem označuje jinak. Třeba pak konečně uvěříte tomu, že ty pakety nezahazuje firewall v INPUTu.
Stále jsem neblíže v tom NATování "do kříže"Vždyť to je to, co chcete, ne? Ono by hodně pomohlo, kdybyste konečně napsal, jaký problém vlastně řešíte.
jenže v iptables mi stačilo povolit logičtější port 8080 než v nftables port 80Nikoli, iptables i nftables se chovají stejně. Paket prochází pořád stejným způsobem, rozdíl mezi iptables a nftables je jenom v samotném nástroji, který v konkrétním chainu vyhodnocuje pravidla.
Zatím si to zkouším na tomhle portu, ale využití bude pro jiné.Pokud potřebujete poradit s tím, jak váš problém vyřešit, to nejrozumnější, co můžete udělat, je konečně ten problém popsat. Hádání na slepo, co asi chcete, nikam nevede.
Ale PRE/POSTROUTING se neuplatňuje když se připojuješ na lokální server.Není mi úplně jasné, co myslíte tím „připojovat se na lokální server“, nicméně my se bavíme o naprosto běžné situaci, kdy pakety přišly normálně ze sítě a míří na aktuální zařízení. Drtivá většina případů, kdy aplikace běží na vysokém portu, aby nemusela mít práva roota (dříve, nebo když se nepoužívají capabilities), a z venku má být dostupná na standardním portu, se řeší právě takhle DNATem (přepisem portu) na cílovém zařízení.
Mimochodem, REDIRECT a DNAT nejdou v INPUT a OUTPUT , je nějak možné docílit analogické změny portu v těchto chainech. ?Ne, k tomu právě slouží PREROUTING. Je potřeba to rozlišovat, iptables i nftables je víc věcí spojených do jedné – nás zajímá firewall a NAT. Firewall slouží k blokování paketů (ACCEPT, REJECT, DROP), NAT k jejich modifikaci (např. DNAT, SNAT – ale jde tam použít i DROP či REJECT, což by do NATu vlastně patřit nemělo). Firewall se konfiguruje v tabulce filter (je výchozí) má chainy INPUT, OUTPUT, FORWARD. NAT se konfiguruje v tabulce nat a má chainy PREROUTING, POSTROUTING a také OUTPUT, aby v tom byl dostatečný zmatek. Dále existuje třeba ještě tabulka mangle, která má zase své chainy.
Kdo DNATUJE na 127.0.0.1 se zlou se potážeNemyslím si. Stačí zhruba chápat, jak síťový stack v linuxu funguje.
"zachytil" to totiž_rp_filtrVždyť jsem to psal, že je rp_filter jeden z kandidátů na prověření, jestli to neblokuje.
Takhle to je bez následného zákazu portu 80Žádný „následný zákaz portu“ v netfilteru neexistuje. Porty „zakazujete“ v chainu INPUT, kde se ta pravidla prochází jendo po druhém, dokud nějaké pravidlo nevyhoví. Nezáleží na tom, zda jste to pravidlo do chainu vložil dřív nebo později, než pravidlo pro NAT. Pořadí zpracování PREROUTING, INPUT, OUTPTU, FORWARD, POSTROUTING je pevně dané tím, jak paket prochází síťovým stackem – vy to pořadí nemůžete nijak ovlivnit. Dával jsem vám sem i odkaz na dokumentaci, kde je ten průchod paketu schematicky znázorněný.
ale stejně bych čekal, že povolený port by měl být 8080, ale to se chová jinakAno, chová se to tak, jak jsem napsal už asi desetkrát. DNAT se dělá v PREROUTING a ten se provádí dřív, než INPUT.
E-MailRelay jsem taky našel. Bohužel je v 64bit verzi, já potřebuji 32bit verzi.Já tedy na stránce pro download vidím i verzi označenou w32 a dokonce i winxp.
No právě.úplně stejně, jako k jiným generickým parametrůmK těm to v případě type erasure za běhu nejde vůbec.
Mám funkční řešeníKdyž si to myslíte…
Potřebuji to pro více služeb a nebudu je pouštět pouze na localhostu, protože v místní síti je potřebuji mít dostupné na defaultních portech a nebudu dělat několika-násobný NAT do různých subnetů.Takže můžeme očekávat další záplavu dotazů. Nebylo by lepší si nastudovat, jak Netfilter funguje?
Když použiji tohle pravidloTakže ta aplikace poslouchá na 192.168.1.22:80 a neposlouchá na 127.0.0.1:80. Co vám radím? No to je jedoduché, když chcete, aby ta aplikace naslouchala na 127.0.0.1:80 a ne na 192.168.1.22:80, tak ji tak nakonfigurujte. Vůbec nejlepší bude, když ji nakonfigurujete, aby naslouchala na portu 8080, když to chcete, a nemusíte pak řešit ten NAT.Kód: [Vybrat]tak mám port 8080 otevřený a když tohleip daddr 192.168.1.22 tcp dport 8080 dnat 192.168.1.22:80Kód: [Vybrat]tak port 8080 není otevřený, takže to co radíte, tak nefunguje.ip daddr 192.168.1.22 tcp dport 8080 dnat 127.0.0.1:80
Sice mi určitě opět neuvěříte, ale tak to u mě je, i kdyžMožná neuvádíte všechny informace, možná něco interpretujete špatně. Např. jste vůbec nenapsal, co podle vás znamená „port otevřený“ a „port není otevřený“.Kód: [Vybrat]ověří oba porty jako funkční.curl http://127.0.0.1:80 nebo curl http://192.168.1.22:80
Root.cz (www.root.cz), informace nejen ze světa Linuxu. ISSN 1212-8309
Copyright © 1998 – 2023 Internet Info, s.r.o. Všechna práva vyhrazena. Powered by Linux.