règle de routage avec iptables sous deb sarge

Mon reseau est le suivant:
internet--(eth2"web.web.web.web.")routeur(eth1"192.168.0.aaa")--switch--poste
192.168.0.loc |
|
(eth0"192.168.2.bbb")--switch--serveur192.168.2.ccc

J'ai installé sur le serveur ssh sur le port 12312 et je souhaîte savoir
si les règles suivantes mise sur le routeur sont correct

iptables -t nat -A PREROUTING -i eth2 -s 0.0.0.0/0
-d web.web.web.web
-p tcp --dport 12312 -m state
--state NEW,ESTABLISHED,RELATED
-j DNAT --to-destination 192.168.2.ccc:12312

iptables -A FORWARD -i eth0 -s 192.168.2.ccc -o eth2 -d 0.0.0.0/0
-p tcp --sport 12312 -m state --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth2 -s 0.0.0.0/0 -o eth0 -d 192.168.2.ccc
-p tcp --dport 12312 -m state --state NEW,ESTABLISHED -j ACCEPT

Je souhaîterais aussi rediriger le flux d'un poste local sur
l'interface eth2 pour pouvoir réaliser des tests sur le serveur ssh
comme si le signal venait du net. J'ai tenter quelque règle sans grand
succès.

Je précise que la règle suivante marche bien mais elle n'utilise que les
interfaces locales.

iptables -A FORWARD -i eth0 -s 192.168.2.ccc -o eth1 -d 192.168.0.loc
-p tcp --sport 12312 -m state --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.0.loc -o eth0 -d 192.168.2.ccc
-p tcp --dport 12312 -m state --state NEW,ESTABLISHED -j ACCEPT

Une dernière pour la route!! Si je change le port 12312 pour le port 80
mes postes 192.169.0.loc pourront surfer sans problème????

Salut,

gronux a écrit :
>Mon reseau est le suivant:
>internet--(eth2"web.web.web.web.")routeur(eth1"192.168.0.aaa")--switch--poste
>192.168.0.loc |
> |
> (eth0"192.168.2.bbb")--switch--serveur192.168.2.ccc
>
>J'ai installé sur le serveur ssh sur le port 12312 et je souhaîte savoir
> si les règles suivantes mise sur le routeur sont correct

Correctes pour quoi faire ?

>iptables -t nat -A PREROUTING -i eth2 -s 0.0.0.0/0
> -d web.web.web.web
> -p tcp --dport 12312 -m state
> --state NEW,ESTABLISHED,RELATED
> -j DNAT --to-destination 192.168.2.ccc:12312

Tu peux supprimer le --state qui ne sert à rien : les paquets
ESTABLISHED, RELATED et INVALID ne traversent jamais les chaînes de la
table nat. Seul le premier paquet NEW d'une connexion passe par ces chaînes.

> iptables -A FORWARD -i eth0 -s 192.168.2.ccc -o eth2 -d 0.0.0.0/0
> -p tcp --sport 12312 -m state --state ESTABLISHED -j ACCEPT
> iptables -A FORWARD -i eth2 -s 0.0.0.0/0 -o eth0 -d 192.168.2.ccc
> -p tcp --dport 12312 -m state --state NEW,ESTABLISHED -j ACCEPT

Un peu compliqué, mais ça devrait marcher pour permettre l'accès au
serveur SSH depuis l'extérieur.

>Je souhaîterais aussi rediriger le flux d'un poste local sur
>l'interface eth2 pour pouvoir réaliser des tests sur le serveur ssh
>comme si le signal venait du net. J'ai tenter quelque règle sans grand
>succès.

D'un poste local sur eth2 ? Impossible : le poste local est sur eth1. Tu
ne confondrais pas l'interface et l'adresse ?

>Je précise que la règle suivante marche bien mais elle n'utilise que les
>interfaces locales.
>
>iptables -A FORWARD -i eth0 -s 192.168.2.ccc -o eth1 -d 192.168.0.loc
>-p tcp --sport 12312 -m state --state ESTABLISHED -j ACCEPT
>iptables -A FORWARD -i eth1 -s 192.168.0.loc -o eth0 -d 192.168.2.ccc
> -p tcp --dport 12312 -m state --state NEW,ESTABLISHED -j ACCEPT

Bien, que veux-tu faire de plus ? Si tu veux y accéder par l'adresse
web.web.web.web, reprends la même règle DNAT qu'au début mais avec eth1.

>Une dernière pour la route!! Si je change le port 12312 pour le port 80
>mes postes 192.169.0.loc pourront surfer sans problème????

Ils pourront surfer sur le site web du serveur 192.168.2.ccc. Est-ce
bien à cela que tu penses ?

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact
listmaster@lists.debian.org

J'ai installé sur le serveur ssh sur le port 12312 et je souhaîte savoir
si les règles suivantes mise sur le routeur sont correct

Correctes pour quoi faire ?

Administration de mes futurs serveurs

Je souhaîterais aussi rediriger le flux d'un poste local sur
l'interface eth2 pour pouvoir réaliser des tests sur le serveur ssh
comme si le signal venait du net. J'ai tenter quelque règle sans grand
succès.

iptables -A FORWARD -i eth0 -s 192.168.2.ccc -o eth1 -d 192.168.0.loc
-p tcp --sport 12312 -m state --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.0.loc -o eth0 -d 192.168.2.ccc
-p tcp --dport 12312 -m state --state NEW,ESTABLISHED -j ACCEPT

Bien, que veux-tu faire de plus ? Si tu veux y accéder par l'adresse
web.web.web.web, reprends la même règle DNAT qu'au début mais avec eth1.

Exact mais ce n'est pas ce que je veux faire. Je veux tester la règle
de DNAT de chez moi car je n'ai pas d'acces internet au boulot à cause
d'un proxy nouvellement installé qui me casse les c.......

Non, j'aimerais rediriger les connexions entrantes depuis le net sur le
serveur ssh et pouvoir surfer tranquiles sur les autres postes. J'ai
peur que la règle de PREROUTING balance tout le flux sur le serveur.

En fait c'est pour pouvoir passer le proxy du taf sur le port 80 ou 443
sans passer par httptunel.