Shtsh 23.04.2010 17:45
Есть проблема! — Проброс порта во внутреннюю сеть
совершенно идиотский вопрос. Укажите, пожалуйста где ошибка в скриптеЕсть шлюз на debian lenny
Есть ftp-сервер на win 2003
Задача: Настроить проброс 21го порта со шлюза на внутренний комп
Не могу присоединиться к серверу. Какие тут возможны проблемы?
Похожие
Поделиться
jupolun 23.04.2010 17:55 #
+ 1 -
ответный совершенно идиотский вопрос - LAN_IP - это IP ftp-сервера, а INT_IP - внутренний IP шлюза (просто для ясности)?
Shtshiptables -t nat -A OUTPUT --dst $EXT_IP и т.д. - это зачем?по идее, помимо непонятного аутпута (который не делает в данном случае ничего, как мне кажется) всё правильно. попробуй сделать чего-нибудь типа
iptables -A FORWARD -p tcp --dport 21 -j LOG --log-prefix "IPTABLES-FORWARD: (FTP) "посмотри, что оно с ними делает?
flar
Ошибка в логике. Есть такой модуль ip_nat_ftp. Создан специально для проброса ftp через NAT. Помню что у ftp два порта используются. На команды и на данные.
Вот тут есть теория http://www.sys-adm.org.ua/system/ftp-nat.php
Вот тут есть теория http://www.sys-adm.org.ua/system/ftp-nat.php
более точно: нехватает
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
который будет отслеживать связанные соединения, такие как разные порты у ftp
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
который будет отслеживать связанные соединения, такие как разные порты у ftp
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A PREROUTING --dst $EXT_IP -p tcp --dport $SRV_PORT -j DNAT --to-destination $LAN_IP
iptables -A FORWARD -i eth2 -o eth0 -d $LAN_IP -p tcp --dport $SRV_PORT -j ACCEPT
Остальное не надо.
iptables -t nat -A PREROUTING --dst $EXT_IP -p tcp --dport $SRV_PORT -j DNAT --to-destination $LAN_IP
iptables -A FORWARD -i eth2 -o eth0 -d $LAN_IP -p tcp --dport $SRV_PORT -j ACCEPT
Остальное не надо.
Shtsh, а ошибка у тебя во второй и третьей строке, они - бред полнейший.
Могут понадобиться модули ip_nat_ftp ip_conntrack_ftp.
Могут понадобиться модули ip_nat_ftp ip_conntrack_ftp.
кстати, насчёт модулей. Я пока гуглил, видел упоменания о них. Но почему-то в debian lenny я их не обнаружил. Может, что-то нужно доставить?
Нет, эти модули входят в ядро. И ооочень не верится, что в дебиане их нет :) Но если modprobe ip_nat_ftp ip_conntrack_ftp действительно не срабатывает, то придется пересобирать.
возможно, они скомпилированы как часть ядра. К сожалению, как уехал с работы сегодня, до воскресного вечера не будет компьютера, чтообы проверить :( Сейчас с КПК сижу
Возможно. Эти модули понадобятся, если ftp используется в активном режиме. Если в пассивном, то нужно просто так же перебросить 20-ый порт для передачи данных.
