Liberar NAT apenas para uma maquina

wantuiliv
(usa Ubuntu)

Enviado em 12/08/2011 - 10:07h

Bom dia, amigos gostaria de liberar conexão nat apenas para umas maquina e as de mais respeitar as regras do firewall como poderia ser feito isso? segue a configuração do meu firewall.

firewall_start()
{
iptables -F
modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.160.0/24 -o eth0 -j MASQUERADE
#Sem proxy
iptables -t nat -A PREROUTING -p tcp -d 192.168.160.126 -j ACCEPT
#APACHE
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#DNS
iptables -A FORWARD -p udp -s 192.168.160.0/24 -d 201.48.87.179 --dport 53 -j ACCEPT
iptables -A FORWARD -p udp -s 201.48.87.179 --sport 53 -d 192.168.160.0
#Abre uma porta o outlook
iptables -A FORWARD -p tcp --sport 25 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --sport 587 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 587 -j ACCEPT
iptables -A FORWARD -p tcp --sport 110 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --sport 465 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 465 -j ACCEPT
iptables -A FORWARD -p tcp --sport 995 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 995 -j ACCEPT
#cat
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 5017 -j ACCEPT
iptables -A FORWARD -p tcp --sport 5017 -j ACCEPT
#Abre para uma faixa de endereços da rede local
iptables -A INPUT -s 192.168.160.0/255.255.255.0 -j ACCEPT
#Abre uma porta para o DNS
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#Abre uma porta ssh(inclusive para a Internet)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#Abre uma porta area remota(inclusive para a Internet)
iptables -A INPUT -p tcp --dport 3389 -j ACCEPT
#Abre uma porta vpn (inclusive para a Internet)
iptables -A INPUT -p tcp --dport 1194 -j ACCEPT
#DNS
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#Abre uma porta vnc (inclusive para a Internet)
iptables -A FORWARD -p tcp --sport 5900 -j ACCEPT
iptables -A FORWARD -p TCP -s 192.168.160.0/24 --dport 5900 -j ACCEPT
iptables -A INPUT -p tcp --dport 5900 -j ACCEPT
iptables -A INPUT -p tcp --dport 5901 -j ACCEPT
iptables -A INPUT -p tcp --dport 5902 -j ACCEPT
iptables -A INPUT -p tcp --dport 5903 -j ACCEPT
iptables -A INPUT -p tcp --dport 5904 -j ACCEPT
# Abre uma porta samba (inclusive para a Internet)
iptables -A INPUT -p tcp --dport 139 -j ACCEPT
#Redireciona uma faixa de portas para um micro da rede local
iptables -I FORWARD -p tcp -d 192.168.160.201 --dport 5900 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 5901 -j DNAT --to-destination 192.168.160.201:5900
iptables -I FORWARD -p tcp -d 192.168.160.214 --dport 5900 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 5902 -j DNAT --to-destination 192.168.160.214:5900
iptables -I FORWARD -p tcp -d 192.168.160.127 --dport 5900 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 5903 -j DNAT --to-destination 192.168.160.127:5900
iptables -I FORWARD -p tcp -d 192.168.160.152 --dport 5900 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 5904 -j DNAT --to-destination 192.168.160.152:5900
iptables -A FORWARD -j DROP
echo "Carregando Firewall"
sleep 1
echo "Firewall OK!"
sleep 1
}
firewall_stop()
{
iptables -F
iptables -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
echo "Desativando Firewall"
sleep 1
echo "Firewall OK!"
sleep 1
}
case "$1" in
"start") firewall_start ;;
"stop") firewall_stop ;;
"restart") firewall_stop; firewall_start;;
esac

natanaelhenrique
(usa Arch Linux)

Enviado em 12/08/2011 - 17:13h

Nao entendi. Voce quer fazer com que uma maquina nao use proxy e acesse a internet diretamente, e isso?

Nao encontrei a regra do proxy, voce esta usando proxy transparente?


Na regra

iptables -t nat -A POSTROUTING -s 192.168.160.0/24 -o eth0 -j MASQUERADE

voce ja esta nateando toda a rede 192.168.160.0/24, o computador que voce quer liberar esta em outra rede ou nessa mesma?

Me desculpe pela ignorancia, mas nao consegui entender o que voce quer, por favor explique melhor.

wantuiliv
(usa Ubuntu)

Enviado em 12/08/2011 - 19:42h

Amigo extamente isso estão na mesma rede porem gostaria que somente essa maquina não passa-se nas de mais regras ficando tudo liberado para ele.
Muito obrigado pela atenção.

natanaelhenrique
(usa Arch Linux)

Enviado em 15/08/2011 - 11:34h

Voce nao respondeu sobre o proxy.

Se voce nao usa proxy transparente, entao basta nao configurar o proxy na maquina que voce quer liberar que ele vai acessar diretamente sem o proxy.