2 votes

règle iptables FORWARD

Je fais tourner 3 machines virtuelles avec Fedora 19. La machine B est configurée avec deux adaptateurs réseaux et fournit un canal que entre la machine A et la machine C.

L'IP de la machine A est réglé sur 192.168.1.1 et l'IP de la machine C est fixé à 172.16.1.1 . Sur la machine B, j'ai un adaptateur avec une IP 192.168.1.254 et un autre adaptateur avec l'IP 172.16.1.254 .

J'ai créé cette règle sur la machine B (qui fonctionne comme un routeur) :

iptables -P INPUT DROP

iptables -A INPUT -p icmp -j ACCEPT

Et donc, aucune connexion entre les machines n'est faite à moins que les PING qui permet la communication entre les machines A et B.

Maintenant je veux créer une règle dans le routeur qui permet la communication de HTTPS entre le réseau externe (machine C) et le réseau interne (machine A)

J'ai ajouté cette règle dans la machine B :

iptables -A FORWARD -o p7p1 -p tcp --dport 443 -d 192.168.1.1 -j ACCEPT

p7p1 est l'interface de la machine B qui se connecte à la machine A. J'ai également essayé :

iptables -A FORWARD -i p8p1 -o p7p1 -p tcp --dport 443 -d 192.168.1.1 -j ACCEPT

p8p1 est l'interface de la machine B qui se connecte à la machine C.

Maintenant, sur la machine A, je fais nc -l 443 et sur la machine C nc 192.168.1.1 443 mais je reçois Ncat: Connection timed out

Qu'est-ce qui ne va pas avec ma règle ?

1voto

p_wiersig Points 146

Il vous manque une règle qui permet également aux réponses de passer à travers votre pare-feu.

J'ai confiance dans le code de netfilter et dans sa puissance. state donc j'utiliserais iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT afin que les paquets dans l'autre sens soient également autorisés.

Dans votre jeu de règles, les réponses de 192.168.1.1 à l'autre machine à 172.16.1.1 sont bloquées.

Consultez également la documentation pour le dépannage d'iptables, par exemple ceci sur linuxhomenetworking.com et ajouter des règles de journalisation lorsque les choses ne fonctionnent pas.

iptables -A FORWARD -j LOG

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X