[closed] Iptables und local redirect

[debnuxer]

Folgendes hatte ich eigentlich vor, aber das Redirect passiert einfach nicht:

Code: Alles auswählen

iptables -t nat -A OUTPUT -p tcp --dport 53 -m owner ! --uid-owner unbound -j REDIRECT --to-ports 53
iptables -t nat -A OUTPUT -p udp --dport 53 -m owner ! --uid-owner unbound -j REDIRECT --to-ports 53
iptables -A OUTPUT -p tcp --dport 53 -m owner --uid-owner unbound -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -m owner --uid-owner unbound -j ACCEPT

iptables -t nat -A OUTPUT -p tcp --dport 80,443,1080 -m owner ! --uid-owner privoxy -j REDIRECT --to-ports 8118
iptables -A OUTPUT -p tcp --dport 80,443,1080 -m owner --uid-owner privoxy -j ACCEPT

Das ipt_REDIRECT und ipt_owner Modul habe ich natürlich auch geladen und in der Ausgabe werden keine Fehler gemeldet.

Woran könnte das noch liegen?

[Cae]

"passiert einfach nicht" == Pakete gehen trotzdem nach draussen? == Pakete kommen nicht beim lokalen Ubound an? Mir ist nicht ganz klar, ob REDIRECT die Pakete dann in die INPUT-Kette schiebt (und man dort eine extra Regel braucht), oder ob sie direkt beim Interface rausfallen. Policy steht auf DROP? Vermutlich erreichst du durch Sniffen oder ein paar -j LOG-Zeilen Klaerung.

Gruss Cae

[rendegast]

Sollen da beliebige dns-Anfragen aus dem inneren Netz zum auf der Maschine laufenden
DNS-Server/-Cache geleitet werden?
Warum dann '-t nat -A OUTPUT'?
Eher '-t nat [-A|-I] PREROUTING -i inneres-interface'.

--dport 53 -m owner ! --uid-owner unbound -j REDIRECT --to-ports 53

Das '--to-ports' ist in dem Fall überflüssig:

REDIRECT
This target is only valid in the nat table, in the PREROUTING and OUTPUT chains, and user-
defined chains which are only called from those chains. It redirects the packet to the
machine itself by changing the destination IP to the primary address of the incoming interface
(locally-generated packets are mapped to the 127.0.0.1 address).

--to-ports port[-port]
This specifies a destination port or range of ports to use: without this, the destina‐
tion port is never altered. This is only valid if the rule also specifies -p tcp or -p
udp.

[debnuxer]

Danke für die Antworten, es musste Output sein weil abgehend DNS Leaks verhindert
werden sollten.

Ausserdem ignorieren manche Browseraddons und automatische Updatefunktionen die
Proxyeinstellung im Browser.

Naja, das Redirect klappt endlich, aber beim Privoxy kommt trotzdem nichts an.

Aber das ist ein anderes Problem und gehört hier hin, deshalb erstelle ich einen neuen Threat.