Liberar SSH para externa

mschott
(usa Debian)

Enviado em 11/09/2011 - 18:06h

Boa tarde pessoal!
em casa tenho um servidor de teste com CentOS que roteia internet para uma máquina com Debian, gostaria de saber como faço para acessar o ssh da máquina Debian de uma rede externa fazendo redirecionamento. A porta do ssh do Debian é a 52224, liberei ela ela no firewall e executei "iptables -t nat -A PREROUTING -d xxx.xxx.xxx.xxx -p tcp -m tcp --dport 52224 -j DNAT 192.168.0.3:52224" segue abaixo meu iptables.

# Firewall configurado por Mateus Schott 26/08/2011 13:42
#
#
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 2049 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 445 -j ACCEPT

###### Libera entrada para o SSH ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 52225 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 52224 -j ACCEPT

###### Libera entrada para o VNC ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 5900 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 5902 -j ACCEPT

###### Libera entrada para o Webmin ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10500 -j ACCEPT

###### Libera entrada de fora para o servidor web ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10888 -j ACCEPT

###### Liberando a internet para a rede interna ######
-A RH-Firewall-1-INPUT -s 192.168.0.0/24 -o eth0 -j ACCEPT


###### Liberando consulta de DNS ######
#-A RH-Firewall-1-INPUT -p udp --sport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p udp --dport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp --sport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp --dport 53 -j ACCEPT

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

COMMIT

# Generated by webmin
*nat
:OUTPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

###### Ativa o mascaramento da rede ######
-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT
# Completed

removido
(usa Nenhuma)

Enviado em 11/09/2011 - 18:19h

Boa noite amigo...

usa as regras a seguir no servidor que roteia a internet:

iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 52224 -j DNAT --to ip do cliente debian:52224
iptables -t nat -A PREROUTING -p udp -i eth0 --dport 52224 -j DNAT --to ip do cliente debian:52224
iptables -t nat -A POSTROUTING -d ip do cliente debian -j SNAT --to ip da rede local do servidor centos


OBS: cuidado para as outras regras não interferir nessas que postei.

posta ai o resultado.

mschott
(usa Debian)

Enviado em 11/09/2011 - 20:26h

não sei em que parte do firewall coloco essa regra e tenho que colocar o iptables -t nat? nao teria que começar com -A PREROUTING? vlw

removido
(usa Nenhuma)

Enviado em 11/09/2011 - 21:06h

teria sim que colocar "iptables -t nat" no inicio, pois indica que as regras serão armazenadas nas chains da tabela nat.

mschott
(usa Debian)

Enviado em 12/09/2011 - 08:05h

ok!!
Só não sei onde que eu coloco essas regras, pode postar como ficará meu iptables com as regras?? Grato

removido
(usa Nenhuma)

Enviado em 12/09/2011 - 12:23h

coloque antes das regras que restrigem a entrada de dados.

vitorioluis
(usa Debian)

Enviado em 12/09/2011 - 13:22h

Aqui utilizei dessa forma e funcionou.

$iptables -t nat -A PREROUTING -p tcp --dport 52224 -j DNAT --to ip_debian:52224

mschott
(usa Debian)

Enviado em 12/09/2011 - 13:29h

sou iniciante em iptables, meu conf vai ficar assim??

# Firewall configurado por Mateus Schott 26/08/2011 13:42
#
#
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 2049 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 445 -j ACCEPT

###### Libera entrada para o SSH ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 52225 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 52224 -j ACCEPT

###### Libera entrada para o VNC ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 5900 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 5902 -j ACCEPT

###### Libera entrada para o Webmin ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10500 -j ACCEPT

###### Libera entrada de fora para o servidor web ######
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10888 -j ACCEPT

###### Liberando a internet para a rede interna ######
-A RH-Firewall-1-INPUT -s 192.168.0.0/24 -o eth0 -j ACCEPT


###### Liberando consulta de DNS ######
#-A RH-Firewall-1-INPUT -p udp --sport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p udp --dport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp --sport 53 -j ACCEPT
#-A RH-Firewall-1-INPUT -p tcp --dport 53 -j ACCEPT


iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 52224 -j DNAT --to ip do cliente debian:52224
iptables -t nat -A PREROUTING -p udp -i eth0 --dport 52224 -j DNAT --to ip do cliente debian:52224
iptables -t nat -A POSTROUTING -d ip do cliente debian -j SNAT --to ip da rede local do servidor centos



-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

COMMIT

# Generated by webmin
*nat
:OUTPUT ACCEPT [0:0]
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]

###### Ativa o mascaramento da rede ######
-A POSTROUTING -o eth0 -j MASQUERADE

COMMIT
# Completed

vitorioluis
(usa Debian)

Enviado em 12/09/2011 - 13:35h

Na minha forma de ver esta correto. Agora é só testar externo.

mschott
(usa Debian)

Enviado em 12/09/2011 - 14:38h

coloquei como tinha postado ali em cima e da esse erro:


[root@servidor-casa ~]# service iptables restart
Limpando regras do firewall: [ OK ]
Configurando cadeias para a política ACCEPT: nat filter [ OK ]
Descarregando módulos iptables [ OK ]
Aplicando regras ao firewall iptables: iptables-restore v1.3.5: Line 52 seems to have a -t table option.

Error occurred at line: 52
Try `iptables-restore -h' or 'iptables-restore --help' for more information.
[FALHOU]

removido
(usa Nenhuma)

Enviado em 12/09/2011 - 14:50h

1º - amigo o que é "RH-Firewall-1"?

nunca vi isso no script de firewall..
é uma chain personalizada?

mschott
(usa Debian)

Enviado em 12/09/2011 - 14:59h

isso veio como padrão do iptables do Centos, soh copiei e colei pra abrir outras portas como do vnc, webmin, o roteamento foi um professor que fez pra mim, o resto ele tah como default.