evtl. iptables forward problem

[sunghost]

hi,
ich habe evtl. ein logik problem mit der forward regel von iptables auf meinem sarge system.

momentan leite ich alle so weiter:

Code: Alles auswählen

iptables -A FORWARD -p TCP -m state --state ESTABLISHED,RELATED - j ACCEPT

wenn ich nun gezielt auf einem rechner etwas weiterleiten möchte ist das dann so möglich?

Code: Alles auswählen

iptables -A FORWARD -p TCP -i lan_extern -o lan_intern -d 192.168.0.23 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

ist das so korrekt?

danke

[Ganeymed]

Also ich bin mir nicht so sicher ob das mit den zwei Zielen so richtig ist.
entweder Du gibst als ZIel (-d) ein komplettest Netz an (lan_intern)
Oder einen eizelnen Rechner. -d 139.168.0.23, oder das entsprechende Interface (eth)
Beides gleichzeitig geht IMHO nicht - weils auch doppeltgemoppelt wäre.
Der eine Rechner ist ja in deinem Netz.
Besser wäre als Ziel die Ethernetkarte anzugeben, die zum entprechenden Netz schaut.

Aber generell solltest Du vom Externen Netz keine neue http-Verbindung starten lassen - es sei denn, Du hat einen http-Server laufen.

Besser wär es es von innen zu sehen:

Code: Alles auswählen

lan_intern="<dein Netz mit Subnetzmaske>"
ETH_0="eth0"
iptables -A FORWARD -p tcp -s $lan_intern -o $ETH_0 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

So sollte das gehen - deine States sorgen dann dafür, daß wenn z.B. ein Browser auf einem Rechner im internen Netz geöffnet wird, die Antwort der angeforderten Seite auch
"zurückdarf".

Bitte Korregiert mich wenn ich falsch liege - bin auch noch iptablesnewbie