iptables - simples Port Forwarding

[onlineuser]

Hallo

ich hab folgendes Problem.

internes Netz 192.168.1.1/24 (Interface lan)
WAN Port zum nächsen Router 192.168.11.3 (Interface wan)

Nun möchte ich ein Port Forwarding von 192.168.1.1:5901 auf 192.168.11.3:5900

Wie sieht eine solche iptables Regel aus?

LG

[Hitman]

iptables -t nat -A PREROUTING -d 192.168.1.1 -p tcp --dport 5901 -j DNAT --to-dest 192.168.11.3:5900

[onlineuser]

Ja so hab ich das auch schon versucht.

Aber wenn ich mit dem Client (192.168.1.5) versuche auf 192.168.1.1:5901 zu zugreifen, kommt die Anfrage nicht beim 192.168.11.3 auf Port 5900 raus.

Benötige ich noch eine weitere Regel?

Forwarding zwischen den Adapter ist aktiviert!

Ich brauch also eine Art Port Weiterleitung vom LAN ins WAN Netz, wobei das WAN wieder das LAN Netz des zweiten Routers ist.

[onlineuser]

Mein Netzwerk ist ähnlich aufgebaut.



Laut dieser Skizze hat mein Server fürs LAN die 192.168.0.1. Der Client hat u.a. die IP 192.168.0.5.

Die Firewall hat ein Routing zwischen LAN und DMZ - hat mit dem alten Server schon funktioniert.
Nun hab ich den 192.168.0.1 erneuert und möchte ein Port Forwarding für den Client 192.168.0.5 mit iptables-Regeln einrichten.
Der 192.168.0.5 soll via 192.168.0.1:5901 auf die 192.168.1.2:5900 weitergeleitet werden.

Es liegt definitiv an den Regeln, denn mit dem alten Server (Windows Port Mapping mit CCProxy) funktioniert es problemlos.

Es scheint noch eine Forward-Regel zu fehlen, weil wenn ich mit

iptables -A FORWARD -j ACCEPT

am Ende funktioniert es.

Ja, Forwarding-Regel fehlte! :-)

[onlineuser]

So funktionierts nun.

iptables -t nat -A PREROUTING -p tcp --dport 5901 -j DNAT --to-destination 192.168.11.3:5900
iptables -t nat -A POSTROUTING -p tcp --dport 5900 -j MASQUERADE
iptables -A FORWARD -p tcp -i lan -s 192.168.2.5 -o eth0 -d 192.168.1.1 --dport 5901 -j ACCEPT
iptables -A FORWARD -p tcp -i eth0 -s 192.168.1.1 -o lan -d 192.168.2.5 -j ACCEPT

Wozu benötigt man eigentlich die zweite Regel? Ohne Masqerade würde beim 192.168.1.1 die Anfrage mit der IP des Clients ankommen, oder? Und so wird die Client IP mit der WAN-IP ersetzt, oder?

Kann man hier noch etwas optimieren bzw. sicherer machen?

[L00NIX]

Hi,

Das Netzwerk 192.168.11.0/24 ist nirgends erwähnt. Wo steht denn das?

Kann man hier noch etwas optimieren bzw. sicherer machen?

Sicherer geht immer, z.B. das unverschlüsselte VNC nicht ohne SSH-Tunnel zu nutzen.

Gruß
L00NIX