IP forwarding iptables

[ju5t]

Ik kom even niet bij mijn documentatie maar ik ben op zoek naar de juiste manier van ip forwarding met iptables. Ik kan me herinneren dat ik 3 regels gebruikte voor de forwarding.

De volgende regels werken, maar masquerade is niet effectief. Hoe kunnen we dit oplossen?

/sbin/iptables -t nat -A PREROUTING -p tcp -d ${originalip} -j DNAT --to-destination ${forwarding}
/sbin/iptables -t nat -A POSTROUTING -p tcp -d ${forwarding} -j MASQUERADE

/sbin/iptables -t nat -A PREROUTING -p udp -d ${originalip} -j DNAT --to-destination ${forwarding}
/sbin/iptables -t nat -A POSTROUTING -p udp -d ${forwarding} -j MASQUERADE

[crossplatform]

Misschien de outgoing interface specificeren?

[ju5t]

Maakt geen verschil. Het IP adres van de server die de forward uitvoert blijft in de logging terug komen.

[hrodenburg]

Moet het niet zo? (uit m'n hoofd)

- bij postrouting rules -d verandert in -s (het is immers source dan)
- zelf heb ik voorkeur voor SNAT ipv MASQUERADE

/sbin/iptables -t nat -A PREROUTING -p tcp -d ${originalip} -j DNAT --to-destination ${forwarding}
/sbin/iptables -t nat -A POSTROUTING -p tcp -s ${forwarding} -j SNAT --to ${originalip}

/sbin/iptables -t nat -A PREROUTING -p udp -d ${originalip} -j DNAT --to-destination ${forwarding}
/sbin/iptables -t nat -A POSTROUTING -p udp -s ${forwarding} -j SNAT --to ${originalip}

<edit>typo: forwarding moest originalip zijn</edit>

[Yourwebhoster]

In CSF is deze mogelijheid standaard, je kan met de verbose optie tijdens het starten van csf alle rules naar het scherm laten schrijven. Daar kan je dan de forwaring rules uithalen, helaas heb ik nu geen tijd voor je om het na te doen. Ik deed het eerst ook met eigen rules maar met CSF is het toch makkelijker als je dat al hebt draaien

[crossplatform]

getUp

Ik heb hier even wat langer over nagedacht dan bij mijn eerste post...
Maar je wil de source IP van het DNAT verkeer vertaald hebben middels masquerading?

Masquerading wordt alleen ingezet als je aan de buitenkant een dynamisch IP adres heb.

Ik gebruik een soortgelijke constructie op een router van me.
Hierbij SNAT ik alle verkeer op het interne IP adres van de router in het desbetreffende netwerk.
Op deze router gebruik ik vlan interfaces etc, maar deze kan je vervangen voor jouw interface.

iptables -t nat -A POSTROUTING -o $VIF_VLAN2 -j SNAT --to-source $VLAN2_IP

Ik hoop dat je hier wat aan heb..!

[ju5t]

Bedankt voor de reacties zover, maar wat ik ook probeer, het lijkt niet te werken.

/sbin/iptables -t nat -A PREROUTING --dst ${originalip} -p tcp -j DNAT --to-destination ${forwarding}
/sbin/iptables -t nat -A POSTROUTING -p tcp -o ext0 -j SNAT --to-source ${forwarding}

Forwarding werkt dan helemaal niet meer. Wat ik wil is tijdens een migratie tijdelijk het verkeer doorsturen naar een andere server. Het gaat dus niet om een dynamisch IP, het is statisch verkeer. Aangezien firewalls op de server waar ${forwarding} op staat nu niet meer werken (alles komt vanaf 1 IP adres) is de oplossing verre van veilig. Daarom willen we het originele IP doorgeven. Maar ik lijk er niet uit te komen.

[hrodenburg]

Is de server waar je deze regels op uitvoert gateway voor de server met ip van ${forwarding}?
Oftewel, is je setup zo?:

--|internet|---|[${originalip}]gatewayserver|---|${forwarding}|

In een andere opstelling gaat het niet werken zonder het source ip te veranderen, je kunt namelijk niet bij tcp connecties de response vanaf een ander ip laten komen, dat werkt gewoon niet zo.
Misschien wil je uitleggen hoe de opstelling is, en een en ander aan elkaar zit gekoppeld?

[crossplatform]

netwerktekening zou inderdaad veel duidelijk maken!

[ju5t]

Ah kijk, ja dan verklaart dat het. Ik ben niet erg into netwerken. Er zit inderdaad een andere gateway tussen. Thanks anyway!