iptables를 사용하여 HTTP 및 SSH 포트를 내부 서버로 어떻게 전달할 수 있습니까?

Question 1

먼저 커널에서 패킷 전달이 활성화되어 있는지 확인하십시오.

# echo 1 > /proc/sys/net/ipv4/ip_forward

아래 줄을 추가하여 영구적으로 만들 수도 있습니다./etc/sysctl.conf

net.ipv4.ip_forward = 1

라우터 역할을 하는 Linux 머신에서 이 작업을 수행해야 합니다. 라우터 시스템에서 다음 규칙을 시도해 볼 수 있습니다.

iptables -t nat -A PREROUTING -i eth1 -d x.x.x.x -p tcp --dport 22 -j  DNAT --to-destination 192.168.1.2:22

또한 라우터 상자에서 NAT 규칙의 출력을 알려주십시오.

iptables -t nat -L -n -v

Answer

먼저 커널에서 패킷 전달이 활성화되어 있는지 확인하십시오.

# echo 1 > /proc/sys/net/ipv4/ip_forward

아래 줄을 추가하여 영구적으로 만들 수도 있습니다./etc/sysctl.conf

net.ipv4.ip_forward = 1

라우터 역할을 하는 Linux 머신에서 이 작업을 수행해야 합니다. 라우터 시스템에서 다음 규칙을 시도해 볼 수 있습니다.

iptables -t nat -A PREROUTING -i eth1 -d x.x.x.x -p tcp --dport 22 -j  DNAT --to-destination 192.168.1.2:22

또한 라우터 상자에서 NAT 규칙의 출력을 알려주십시오.

iptables -t nat -L -n -v

Question 2

이 놀라운 사실을 바탕으로디지털오션포트 전달 방법에 대한 의 튜토리얼을 여기에 다시 작성하기로 결정했습니다.

나는 이것이 어떻게 작동하는지 연구하는 데 많은 시간을 보냈습니다. 저는 Linux를 처음 접했고 시작이 항상 쉬운 것은 아닙니다. 다음은 내 서버의 예이며 포트 전달입니다.

방화벽 서버(NIC 카드 2개) - 네트워크 세부정보:

공용 IP 주소:xx.xx.xx.xx
개인 IP 주소:yy.yy.yy.yy
공개 인터페이스:eth0
개인 인터페이스:eth1

내부(예: SSH, 웹) 서버(NIC 카드 1개) - 네트워크 세부정보:

개인 IP 주소:zz.zz.zz.zz
개인 인터페이스:eth0

해결책:

커널에서 패킷 전달을 활성화합니다.

echo 1 > /proc/sys/net/ipv4/ip_forward

변수를 정의합니다.

# Admin IP address (e.g. public home ip)
ADMIN="aa.aa.aa.aa"

# IP addresses of servers (e.g. in cloud):
FW_eth0_ip="xx.xx.xx.xx"
FW_eth1_ip="yy.yy.yy.yy"
WEB_eth0_ip="zz.zz.zz.zz"

# Services:
SSH="22"
HTTP="80"

Iptables 포트 전달(-m conntrack 사용):

iptables -t nat -A PREROUTING -i eth0 -s $ADMIN -d $FW_eth0_ip -p tcp --dport $SSH -j DNAT --to-destination $WEB_eth0_ip
iptables -A FORWARD -i eth0 -o eth1 -p tcp --syn --dport $SSH -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport $SSH -m conntrack --ctstate ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -p tcp --sport $SSH -m conntrack --ctstate ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -p tcp --dport $SSH -d $WEB_eth0_ip -j SNAT --to-source $FW_eth1_ip

몇 가지 참고사항:

"..-s $ADMIN -d $FW_eth0_ip.."(첫 번째 행) - 보안상의 이유로만 추가되었습니다. 이는 ADMIN IP만 SSH에 액세스할 수 있음을 의미합니다(필요하지 않은 경우 삭제할 수 있음).
-m conntrack와 같다-m 상태
SSH의 기본 포트를 1xxxx(/etc/ssh/sshd_config)와 같은 다른 포트로 변경하는 것이 좋습니다.
확인하다TCP 및 UDP 포트 번호 목록
방화벽 서버의 SSH에 액세스하는 데 포트 15xx1을 사용하고 내부 포트 15xxx2를 사용합니다.

단말기:

# access firewall server
$ ssh [email protected] -p 15xx1

# access internal server
$ ssh [email protected] -p 15xx2

사용된 규칙에 대한 자세한 내용은 언급된 튜토리얼에 완벽하게 설명되어 있습니다.

그게 다 제가 쓴 것입니다. 그것이 당신에게 도움이 되기를 바랍니다.

Answer