☰

Puerto de reenvío desde una conexión externa a una computadora en LAN (Ubuntu-iptables)

tag-icon • tag-icon linux iptables rdp
Puerto de reenvío desde una conexión externa a una computadora en LAN (Ubuntu-iptables)

Tengo un problema, no puedo conectarme desde fuera de mi LAN a una computadora con Windows usando Escritorio remoto.

Estoy usando Ubuntu 14.04, iptables.

External Inferface: eth1
LAN Intergace: eth2
Windows IP: 192.168.1.100
Serverlinux LAN IP: 192.168.1.2
Serverlinux External IP: 186.xxx.xxx.xxx

Configuración real de iptables:

iptables-restore <<-EOF
*nat
-A POSTROUTING -o "$EXTIF" -j MASQUERADE
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -i "$EXTIF" -o "$INTIF" -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -i "$INTIF" -o "$EXTIF" -j ACCEPT
-A FORWARD -j LOG
COMMIT
EOF

He probado muchos ejemplos pero no he tenido suerte.

Ejemplo 1:

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.100
iptables -t nat -A POSTROUTING -s 192.168.1.100 -p tcp --sport 3389 -j SNAT --to 192.168.1.2
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Ejemplo 2:

iptables -A INPUT -i eth1 -p tcp --destination-port 3389 -j ACCEPT
iptables -t nat -I PREROUTING -p tcp --dport 3389 -j DNAT 192.168.1.100:3389
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Ejemplo 3: Error (iptables: No hay cadena/objetivo/coincidencia con ese nombre).

iptables -A PREROUTING -d 186.xxx.xxx.xxx -p tcp -m tcp --dport 3386 -j DNAT --to-destination 192.168.1.100:3399 
iptables -A FORWARD -i eth1 -o eth2 -d 192.168.1.100 -p tcp -m tcp --dport 3399 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

¿Qué me falta?

Gracias de antemano.

Respuesta1

Lo siguiente reenvía el puerto 1337 de la dirección IP externa al puerto 3389 en la dirección IP interna:

iptables -t nat -I PREROUTING -d 186.xxx.xxx.xxx -p tcp --dport 1337 -j DNAT --to-destination 192.168.1.100:3389
iptables -I FORWARD -o eth2 -d 192.168.1.100 -p tcp --dport 3389 -j ACCEPT

La primera regla (en la tabla nat, que omitió en el tercer ejemplo) reescribe la dirección de destino del paquete cuando llega. La segunda regla permite reenviar el paquete recién reescrito.

He eliminado todas las referencias a la interfaz entrante, ya que asumo que quieres que funcione incluso si estás detrás del enrutador (solo por razones de coherencia).

Respuesta2

iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 1337 -j DNAT --to-destination 192.168.1.100:3389

iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 3389 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

información relacionada