redirecionamento iptables para porta 3389 [resolvido]

[Safetec]

mas até agora nada de conexao! =[

Acho que agora vc deve colocar os padrões das regras para DROP pois como está ACCEPT ele está aceitando para sí mesmo.

Lembrando que setando para DROP ele vai bloquear tudo e só liberar o que você autorizar.

iptables -P FORWARD DROP
iptables -P INPUT DROP

[zekkerj]

Gente, não é assim que o iptables funciona... isso não tem nada a ver com o problema.
Mudar o padrão para DROP só vai piorar o problema.

As conexões não acontecem pq os pacotes não chegam. Tem que rever a configuração do modem, e conversar com o provedor que pode estar bloqueando as conexões.

[_ubuntu_]

acredito que o provedor nao esta bloqueando, pois se eu deixar assim: nuvem>modem>server2003

e tentar conectar de fora, funciona que é uma belezura...sendo assim nao pode estar sendo bloqueado!


mas eu preciso que fique assim nuvem>modem>proxy+firewall>switch>server2003
                                                                                                                             >computador01
                                                                                                                             >computador02

intendem agora??? obrigado!

[zekkerj]

Mas então pq os pacotes não chegam ao seu proxy? Os contadores não estão avançando. Isso é sinal de que os pacotes não chegam.
Você não tinha nenhuma regra de bloqueio ativa.

Você usou o mesmo endereço pro proxy que usou pro servidor?

[_ubuntu_]

Você usou o mesmo endereço pro proxy que usou pro servidor?

como assim ?? endereço IP???

proxy = 192.168.1.40
server2003 = 10.1.1.50

[zekkerj]

Quando vc conectou o servidor diretamente ao modem, usou esse mesmo endereço?

[_ubuntu_]

Quando vc conectou o servidor diretamente ao modem, usou esse mesmo endereço?

quando conectei o servidor direto no modem, mudei o ip dele para 192.168.1.50 e coloquei no NAT dentro do modem 192.168.1.50:3389
e assim funciona normal!

[zekkerj]

Já tentou usar esse mesmo endereço no seu proxy, em vez do 192.168.1.40?

[_ubuntu_]

nao mas vou tentar assim que eu puder..

[_ubuntu_]

Olá, venho por meio deste avisar que até agora nada!!! até o presente momento nada de conexao...tentei de tudo..vou colar abaixo todas as regras que tentei no iptables...

Código Selecionar Expandir


iptables -A OUTPUT -p tcp --dport 3389 -j ACCEPT
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.180:3389


#http://www.vivaolinux.com.br/dica/Liberando-acesso-ao-TSWEB-(Terminal-Services)-externo-no-firewall
#iptables -A INPUT -p tcp --destination-port 3389 -j ACCEPT
#iptables -t nat -A PREROUTING -i 192.168.1.40 -p tcp --dport 3389 -j DNAT --to-destination 10.1.1.50:3389
#iptables -A FORWARD -p tcp -i 192.168.1.40 --dport 3389 -d 10.1.1.50 -j ACCEPT

#iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 3389 -j REDIRECT --to-port 3128

#iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT
#terminal server
#iptables -t nat -A PREROUTING -i 192.168.1.40 -p tcp --dport 3389 -j DNAT --to 10.1.1.50:3389




#iptables -t nat -A PREROUTING -p tcp --dport 3389 -d 192.168.1.40 -j DNAT --to-destination 10.1.1.50:3389
#iptables -t nat -A POSTROUTING -p tcp -d 10.1.1.50 -j MASQUERADE


#iptables -A INPUT -p tcp ! --sport 3389:3389 -j ACCEPT
#iptables -t nat -A PREROUTING -i 10.1.1.1 -p tcp --dport 3389 -j DNAT --to 192.168.1.180


#Libera trafego total para a porta
#iptables -A INPUT -p tcp --dport 3389 -j ACCEPT
#iptables -t nat -A PREROUTING -i 192.168.1.40 -p tcp --dport 3389 -j DNAT --to 10.1.1.50

#*
#iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 10.1.1.50:3389
#iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT

#iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 3389 -j DNAT --to 10.1.1.50:3389
#iptables -A INPUT -p tcp -m state --state NEW --dport 3389 -i eth1 -j ACCEPT




alguem tem uma luz ??

obs: claro que todas as regras eu tirei o comentario para testar!!!

[Arthur Bernardes]

O acesso remoto no Windows usa a porta 3389..! Certo.! Você usa modem..? Tem Ip Válido na Internet..? Ip Fixo.? Você tem certeza que permitiu o acesso remoto nas Configurações Avançadas do Sistema, na Aba Remoto..?

[_ubuntu_]

O acesso remoto no Windows usa a porta 3389..! Certo.! Você usa modem..? Tem Ip Válido na Internet..? Ip Fixo.? Você tem certeza que permitiu o acesso remoto nas Configurações Avançadas do Sistema, na Aba Remoto..?

tudo isso que voce esta falando eu ja fiz.. inclusive consegui a solução atravez de um amigo.
logo quando eu tiver um tempinho eu posto a solução aqui!!!

só adiantando..o problema realmente estava nas regras de iptables ! ! !

[Arthur Bernardes]

Que bom que conseguiu resolver..! Poste-nos a solução quando puder..!

[_ubuntu_]

Esse script abaixo, foi o que consegui com um amigo, sendo assim logo modifiquei ele para minha rede e as portas que eu precisava...

esse scritp abaixo não esta como o meu, mas é praticamente a mesma coisa, quem for usar ele só tem que alterar conforme precisar...!!! Obrigado a todos.

Código Selecionar Expandir

#!/bin/bash
# Script de Firewall

#####################################
### Passo 1: Primeiro vamos arrumar a casa :) ###
#####################################

# Limpando as Regras
iptables -F
iptables -X
iptables -F -t nat
iptables -X -t nat
iptables -F -t mangle
iptables -X -t mangle

# Definindo a Politica Default das Cadeias
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP


######################################
### Passo 2: Antes de Servir, vamos nos proteger ! ###
######################################

# Desabilitando o trafego IP Entre as Placas de Rede
echo "0" > /proc/sys/net/ipv4/ip_forward

# Configurando a Protecao anti-spoofing
#echo "Setting anti-spoofing .....[ OK ]"
#for spoofing in /proc/sys/net/ipv4/conf/*/rp_filter; do
#        echo "1" > $spoofing
#done


#######################################
### Passo 3: Carregando os modulos do iptables ###
#######################################

modprobe ip_tables
modprobe iptable_filter
modprobe iptable_mangle
modprobe iptable_nat
modprobe ipt_MASQUERADE
echo "regras carregadas .............[ OK ]"

#######################################
### Passo 4: Agora, vamos definir o que pode passar e o que nao ###
#######################################

# Cadeia de Entrada. Esta cadeia, so vale para o proprio host

# Qualquer pacote IP que venha do localhost, Ok.
iptables -A INPUT -i lo -j ACCEPT

# REDE INTERNA LIBERADA
iptables -A INPUT -i eth3 -j ACCEPT

# No iptables, temos de dizer quais sockets sao validos em uma conexao
iptables -A INPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT

iptables -t nat -A PREROUTING -s 10.1.1.50 -j ACCEPT

# Cadeia de Reenvio (FORWARD)

# Primeiro, ativar o mascaramento (nat).
iptables -t nat -F POSTROUTING
#rede externa
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

# Agora dizemos quem e o que podem acessar externamete
# No iptables, o controle do acesso a rede externa e feito na cadeia "FORWARD"

iptables -A FORWARD -p tcp --dport 465 -j ACCEPT
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp --dport 26 -j ACCEPT
iptables -A FORWARD -p tcp --dport 995 -j ACCEPT
iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 587 -j ACCEPT
iptables -A FORWARD -p tcp --dport 3456 -j ACCEPT
iptables -A FORWARD -p tcp --dport 1863 -j ACCEPT
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT

iptables -A INPUT -p udp --dport 5100 -j ACCEPT
iptables -t nat -I PREROUTING -p tcp -d 200.201.0.0/16 -j ACCEPT
iptables -t nat -I PREROUTING -p tcp -d 200.223.0.0 -j ACCEPT
iptables -I FORWARD -p tcp -d 200.201.0.0/16 -j ACCEPT
iptables -I FORWARD -p tcp -d 200.223.0.0 -j ACCEPT
#sintegra
#iptables -t nat -I PREROUTING -p tcp -d 200.198.239.21 -j ACCEPT
#iptables -A FORWARD -s 10.1.1.0/24 -p tcp --dport 8017 -j ACCEPT
iptables -A FORWARD -s 10.1.1.0/24 -p tcp --dport 2059 -j ACCEPT
iptables -A FORWARD -s 10.1.1.0/24 -p tcp --dport 3456 -j ACCEPT
iptables -A FORWARD -s 10.1.1.0/24 -p tcp --dport 5100 -j ACCEPT

#terminal server
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 3389 -j DNAT --to 10.1.1.50:3389
#iptables -I FORWARD -p tcp --dport 3389 -j ACCEPT

#SSH
#iptables -t nat -A PREROUTING -i eth4 -p tcp --dport 2122 -j DNAT --to 192.168.0.175:2122
#iptables -I FORWARD -p TCP --dport 2122 -j ACCEPT

#conectividade
#iptables -t nat -A PREROUTING -d 200.198.239.21/24 -p tcp --dport 80 -j RETURN
#iptables -t nat -A PREROUTING -d 200.198.232.62/24 -p tcp --dport 80 -j RETURN
#ms-proxy
#iptables -t nat -A PREROUTING -i eth3 -p tcp --dport 1863 -j REDIRECT --to-port 1863

# Redireciona porta 80 para 3128 (squid)
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 443 -j REDIRECT --to-port 3128

iptables -A INPUT -i tun+ -j ACCEPT
iptables -A FORWARD -i tun+ -j ACCEPT
iptables -A INPUT -i tap+ -j ACCEPT
iptables -A FORWARD -i tap+ -j ACCEPT
# Acesso ao Conectividade Social e SEFIP (host - cmt.caixa.gov.br):
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 200.201.173.68 -j ACCEPT
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 200.201.166.200 -j ACCEPT
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 200.201.174.204 -j ACCEPT
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 200.201.174.207 -j ACCEPT
#sped  fiscal
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 200.198.239.21 -j ACCEPT
# REDE INTERNA LIBERADA
#abnt catalogo
#iptables -t nat -A PREROUTING -i eth1 -p tcp -d !205.237.197.94 --dport 80 -j REDIRECT --to-port 3128
iptables -A FORWARD -i eth1 -j ACCEPT
#iptables -A FORWARD -p tcp -s 10.1.1.0/24 -d 205.237.197.94 -j ACCEPT
# No iptables, temos de dizer quais sockets sao validos em uma conexao
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

########################################
### Finalmente, podemos "Ligar" o foward (clientes) :) ###
########################################

# Habilitando o trafego Ip, entre as Interfaces de rede
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "Firewall OK ...............[ OK ]"




Obrigado a todos.

[Arthur Bernardes]

Nos parece um firewall bem simples..! Que bom que resolveu o problema..!