Mehrere IP Adressen

iTob · Beitrag von **iTob** » 21.06.2006 13:39:59

Ich möchte einem Debian-Rechner auf einer Schnittstelle verschiedene IP-Adressen zuweisen, die ich dann mittels IPTABLES mit unterschiedlichen Regeln versehen kann.

Ich habe es mit

Code: Alles auswählen

ifconfig add

versucht. Dabei erhalte ich ein

Code: Alles auswählen

eth0:0

welches ich in den iptables nicht extra ansteuern kann.
Gibt es da noch eine andere Lösung?

Edit by Snoopy:
Code-Tags für die Leserlichkeit eingefügt.

gms · Beitrag von **gms** » 21.06.2006 14:48:47

das geht über iptables nicht, weil iptables nur die physischen Interfaces sieht.

Code: Alles auswählen

Gibt es da noch eine andere Lösung?

1)
a) zusätzliche NIC's
b) UML (User-Mode-Linux), XEN, ...alles was einen zusätzlichen TCP Stack zur Verfügung stellt

2)
vielleicht kannst du auch über andere zusätzliche Kriterien deine iptables Regeln anpassen, sodaß du keine zusätzlichen Interfaces benötigst

Gruß
gms

deBeck · Beitrag von **deBeck** » 21.06.2006 15:15:43

vlan ?

gms · Beitrag von **gms** » 21.06.2006 15:45:44

ja richtig, vlan ist natürlich eine gute Lösung, es baut auf dem "data link layer" auf und kann daher auch über iptables gefiltert werden

Gruß
gms

iTob · Beitrag von **iTob** » 21.06.2006 15:51:37

Das Ganze ist bei uns geschichtlich gewachsen:
Internet-Zugang schon länger über Proxy, Die e-Mails laufen über Port-Forwardings von einem bestimmten Port intern auf den MailserverPort im Internet.

Nun benötige ich aber doch für bestimmte Ports einen direkten Zugriff ins Internet. Also nutze ich den gleichen Debian-Rechner als Router.
Wenn ich aber per

Code: Alles auswählen

iptables -A FORWARD -j DROP

dicht mache funktioniert auch ein

Code: Alles auswählen

iptable -nat -PREROUTING ...

nicht mehr, da die per PREROUTING umgeleiteten Pakete ja ebenfalls FORWARD durchlaufen.
Natürlich könnte ich Port 25 und 110... im FORWARD freigeben, aber da habe ich keinen Weg gefunden dies nur für meine ge-PREROUTET-en Pakete zu tun, sondern dann wieder für alle Pakete der betreffenden Rechner.

Und deshalb bin ich auf die Idee mit der 2. IP- Adresse gekommen, welche ich dann als 'sichereren' Gateway verweden könnte.
Kann ich das Ganze auch anders einfacher lösen?

chabayo · Beitrag von **chabayo** » 21.06.2006 15:59:23

...ich kenn mich nicht so direkt aus mit iptables...

...aber da gibt es doch die -d option (destination)...kannst du damit nicht die Adressen filtern?

chroiss · Beitrag von **chroiss** » 21.06.2006 16:45:57

da hat chabayo recht .

wenn du zunächst alles dropst kannst du natürlich einzelne sachen wieder freigeben:

beispiel für openvpn ( da ich das gerade auch schon in einem anderen thread geschrieben habe) :

Code: Alles auswählen

# OVPN 
$IPTABLES -A FORWARD -i $INTDEV -p udp -s 192.168.10.5 --dport 5000 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT 

$IPTABLES -t nat -A PREROUTING -i $EXTDEV -p udp --dport 5000 -j DNAT --to-dest 192.168.10.5 
$IPTABLES -A FORWARD -i $EXTDEV -o $INTDEV -d 192.168.10.5 -p udp --dport 5000 -j ACCEPT

so hast du volle kontrolle über jeden port und sourceip/destip.

gruss chroiss

Bagdad · Beitrag von **Bagdad** » 21.06.2006 19:55:55

Also um die ursprügliche Frage zu beantworten:

Eine IP Adresse kann man unter

/etc/network/interfaces Datei eintragen

dazu einfach mal
man interfaces
lesen.

Ob das aber das beschriebene Administrativeproblem löst kann ich nicht sagen.

MFG
C. Beyersdorf

PS: Man kann für ein Interface auf diese Weise auch zwei Adressen einpflegen und nach der Dest IP sollte man ja dann suchen können