iptables: nur bestimmte ports routen

[geisi]

hi!

verwende einen linux-rechner als router (SuSE 10)
jetzt will ich, dass der linux-router nur http- und ftp-packete weiterleitet (forwarding)

habe mal folgendes getan:

Delphi-Quellcode:

// vorhandene tables löschen
iptables -F

// alle policies auf DROP setzen
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

// alle verbindungen  für das loopback interface erlauben
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

Dann will ich dass weiterleiten von paketen auf dem port 80 erlauben, funktioniert aber nicht

Delphi-Quellcode:

// vom Internet ins lokale Netz
iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 80 --sport 80 -d 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

// vom lokalen Netz ins Internet
iptables -A FORWARD -p tcp -i eth1 -o eth0 --dport 80 --sport 80 -s 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Info:
eth0 (NIC1) --> geht ins Internet
eth1 (NIC2) --> geht ins lokale Netz
http://www.pro-linux.de/work/firewal.../sv2242246.jpg

Warum komme ich nicht ins internet?
PS: wenn ich die iptables lösche und alles erlaube, komme ich ohne probleme ins internet

[DeddyH]

Bist Du Dir sicher, dass Dein lokaler Port 80 ist?

[geisi]

die anfrage des browsers wird doch wohl auch auf dem port 80 sein, oder?

[DeddyH]

Sicher, der Rechner fragt den Zielport 80 an, der Quellport dürfte aber oberhalb von 1024 liegen. Versuch es mal so:

Delphi-Quellcode:

// vom Internet ins lokale Netz
iptables -A FORWARD -p tcp -i eth0 -o eth1 --sport 80 -d 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

// vom lokalen Netz ins Internet
iptables -A FORWARD -p tcp -i eth1 -o eth0 --dport 80 -s 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

[geisi]

Hab ich jetzt gemacht, funktioniert trotzdem nicht

http://www.sv-deutschgoritz.at/iptables.jpg

[geisi]

Zur Kontrolle, wenn ich die tables lösche und die FORWARD-Policy auf ACCEPT stelle, komme ich ohne probleme ins internet

http://www.sv-deutschgoritz.at/iptables2.jpg

[bigg]

Welches Modem verwendest du?

[geisi]

es sind noch ein router (der direkt mit dem Modem verbunden ist) und ein switch zwischen meinem linux-router und dem modem, darum glaube ich, dass das problem nicht beim modem liegt!

[DeddyH]

Port-Forwarding ist eingeschaltet?
echo "1" > /proc/sys/net/ipv4/ip_forward

[geisi]

Ja hab ich. muss an den iptables-einträgen liegen, denn ...

Zitat von geisi:

Zur Kontrolle, wenn ich die tables lösche und die FORWARD-Policy auf ACCEPT stelle, komme ich ohne probleme ins internet

http://www.sv-deutschgoritz.at/iptables2.jpg