iptables nat regel

Spoersmaalet henger i utgangspunktet ikke helt sammen, slik at det kan tolkes paa diverse forskjellige maater.

Hvilken rolle har iptables i denne sammenheng, er det snakk om en linux gateway, eller er det snakk om en linux server ute paa internett eller inne paa lan ?

Du maa fortelle litt mer om hvordan du har koplet opp det hele og hva det er du oensker skal fungere paa hvilken maate, hvis spoersmaalet skal kunne besvares.

Unskyld sproget som er mer haaploest enn noen gang.

Det er helt ok med sproget langben ;-)

Jo, setup er en Linux gateway, der har 3 netkort. ETH 0 og ETH 1 er til Internet, og ETH 2 er til det interne net (der er kun denne ene server). Reglen skal så sende en intern klient forspørgelse videre til en anden intern computer. Dvs. vi skal ikke have Internettet med ind i billedet. Kun LAN.

Håber det er nok til at kunne gennemskue situationen.

Er det slik aa forstaa at den interne pc med webserver ogsaa kjoerer inne paa det samme nettverkssegment som Eth2 er koplet opp mot ? Det er altsaa snakk om en intern pc med en browser som skal redirectes til en intern web server ?

Hvis det er riktig forstaatt saa lar vel dette seg neppe (ikke) gjoere vha iptables.

Det som der i mot godt kan gjoeres, det er aa sette opp en adresse redirection i hosts filen paa den enkelte klient.

Er problemstillingen rett forstaatt og kan dette vaere en loesning ?

Ja, webserver og klient sidder på samme segment (eth2). Men jeg har ikke adgang til klienten, så det skal foregå vha. firewall'en.

Normalt sett saa skulle vel dette ikke kunne la seg gjoere. Det finnes vel mulig noen "unormale" varianter som kanskje kunne klare det allikevell, men det er neppe noe som har den store praktiske anvendelse. Det praktiske svar skulle saaledes bli at dette ikke kan la seg gjoere.

Det kan ikke settes opp til aa fungere paa denne maten vha en iptables firewall.

Hmm, hvorfor ikke? At redirecte alt trafik på port 80 til en anden IP adresse, burde da ikke være noget problem. Det må da kunne lade sig gøre...

Redirecting funksjonen er en del av de funksjoner som finnes for kontroll av trafikk mellom to forskjellige nettverk. Naar baade server og klient kjoerer paa samme nettverk saa passerer i utgangspunktet datatrtafikken ikke de "hooks" ("kontrollposter" i forhold til datatransporten) som kan brukes til aa aktivisere redirection. Jeg ville i hvert fall mene at det skulle virke slik.

Den "unormale maate" det skulle i saa fall vaere aa kjoere noe i retning av to virtuelle nettverk paa den samme fysiske kabel, slik at man eventuelt kunne redirekte mellom to virtuelle nettverk. Har ikke proevd, men ville tro at det kunne gaa an. I saa fall maatte ogsaa klientene vaere satt opp med dobbelt nettverksadresse, slik at de var paalogget to virtuelle nettverk samtidig. Tror ikke at dette eventuelt ville vaere noen praktisk og bra maate, selv om det eventuelt kunne kjoere som laboppsett.

Det ville vaere positivt om jeg tok feil (at det er forkert) det jeg sier, (eller antar/tror) men jeg er redd for (bange for) at det er rett (??)

Ved naeremere ettertanke - det gaar ikke uansett. Det vil ikke vaere praktisk mulig aa kjoere en klient tilknyttet to virtuelle nettverk samtidig. Man ville maatte velge det ene eller det annet, og da kan det ikke fungere.

Måske kunne jeg så ligge webserveren hen på et andet netværk. LAN netværket har 10.x.x.x, så hvis jeg sætter webserveren hen på et 192.168.0.1, burde det godt kunne lade sig gøre, ikke?

iptables -t nat -A PREROUTING -m mac --mac-source xx:xx:xx:xx:xx:xx -j DNAT --to 192.168.0.1

- det kræver vel så bare at jeg sætter et ekstra netkort i firewall serveren :-(

hov, reglen vil så hedde:

iptables -t nat -A PREROUTING -m mac --mac-source xx:xx:xx:xx:xx:xx -j DNAT --to 192.168.0.2

- da firewall netkortet har 192.168.0.1...

Du faar teste ut .. kan ikke huske om man skal bruke -s for aa angi "source"

Ja, har ikke rigtig mulighed for at teste P.T. men vender tilbage engang jeg får det løst. Kan du ikke smide et svar til mig langbein?

Er på ferie og har ingen dokumentasjon med meg. Mener å huske at dersom man skal sjekke ip mot avsender så angir man dette med -s Mulig det blir likt når man skal sjekke mot avsender mac.

Ja, ok. Afprøver det, men virker som om at source virker fint.