NAT en sortie

par **JuLeS** » 23 Août 2003 12:52

Bon aller, une petite question simple pour nos pro iptables (qui a dit Tomtom ?? <IMG SRC="images/smiles/icon_lol.gif"> ). Je m'explique, j'ai un IPCOP Red-Orange-Green, avec une plage @IP publiques et donc les alias actifs sur la carte Red. J'ai en interne, un serveur de messagerie qui utilise un des alias de la carte Red (j'ai fait le transfert et ça marche niquel) pour la réception. Par contre, c'est lorque mon serveur envoie que c'est plus délicat, parce qu'en fait c'est l'@IP de la carte Red qui est utilisée pour l'envoi. Donc, voici ma question qui va parraitre logique : Quelle regle ajouter (et ou ?) pour que lorsqu' IPCop voit du traffic qui arrive de telle @IP privé (sur tel port), il utilise tel alias de la Red pour faire sortir ?? Merci d'avance <IMG SRC="images/smiles/icon_up.gif">

par **grosbedos** » 23 Août 2003 13:08

moi je dirai que ca vien certainemen de la regle de masquering... enfin bon attendons

par **tomtom** » 23 Août 2003 18:16

Il faut faire du statiq nat.. En clair, tu ne dois plus utiliser la cinle MASQUERADE mais la cible SNAT. extrait du man iptables : SNAT This target is only valid in the nat table, in the POSTROUTING chain. It specifies that the source address of the packet should be modified (and all future packets in this connection will also be man gled), and rules should cease being examined. It takes one type of option: --to-source ipaddr[-ipaddr][:port-port] which can specify a single new source IP address, an inclusive range of IP addresses, and option ally, a port range (which is only valid if the rule also specifies -p tcp or -p udp). If no port range is specified, then source ports below 512 will be mapped to other ports below 512: those between 512 and 1023 inclusive will be mapped to ports below 1024, and other ports will be mapped to 1024 or above. Where possible, no port alteration will occur. You can add several --to-source options. If you specify more than one source address, either via an address range or multiple --to-source options, a simple round-robin (one after another in cycle) takes place between these adresses. Voila, en clair tu ajoutes une règle du genre : iptables -t nat -A POSTROUTING -s @privee_server -j SNAT --to-source @ip_bublique_que_tu_veux Ainsi, le serveur utilisera toujours cette ip pour sortir <IMG SRC="images/smiles/icon_wink.gif"> T.

par **JuLeS** » 23 Août 2003 19:26

Merci Tomtom <IMG SRC="images/smiles/icon_bise.gif"> , je savais que je pouvais ciompter sur toi. Je vais mettre ça en application des que possible. JuLeS PS : Je vais abuser un peu <IMG SRC="images/smiles/icon_biggrin.gif"> et te demander confirmation : je dois mettre cette regle dans mon rc.firewall ?? Et si oui, a quel endroit ? Merci <IMG SRC="images/smiles/icon_bise.gif">

par **tomtom** » 24 Août 2003 00:54

Tu n'abuses pas du tout <IMG SRC="images/smiles/icon_wink.gif"> Le truc c'est qu'en général je dis des conn* en parlant de IPCop, donc il faudra une confirmation de Grosbedos ou de Gesp qui connaissent mieux que moi. Je dirais pour moi oui, dans le rc.firewall. La règle devrait etre placée de manière à ce qu'elle soit positionnée AVANT le masquerading dans la chaine POSTROUTING. Donc en clair, si on n'utilise que des -A, tu devrais la mettre juste avant la règle pour le masquerading. Il faudrait evidemment ajouter une ligne du même genre pour chacun des serveurs qui ont une ip publique pour qu'ils sortent chacun avec leur IP... Thomas

par **Gesp** » 24 Août 2003 01:09

Si j'ai bien compris, elle doit être avant le /sbin/iptables -t nat -A RED -o $IFACE -j MASQUERADE sachant que RED est défini par /sbin/iptables -N RED /sbin/iptables -A INPUT -j RED /sbin/iptables -t nat -N RED /sbin/iptables -t nat -A POSTROUTING -j RED Si j'ai bien compris <a href="http://christian.caleca.free.fr/netfilter/nat.htm" target="_blank">http://christian.caleca.free.fr/netfilter/nat.htm</a>, on ne peut pas utiliser le CUSTOMPREROUTING pour cela , il faudrait un CUSTOMPOSTROUTING qui n'existe pas.

par **JuLeS** » 24 Août 2003 01:24

Encore merci à vous 2 pour ces infos, je mets en application des que possible.

NAT en sortie

Qui est en ligne ?