IPTABLES - droga pakietu

[mariuszad 0]

Witam

 

Chcę się upewnić co do poprawności mojego toku rozumowania w kolejności przepływu pakietów przez iptables. Dlatego zwracam się z prośbą do Was o poprawienie mnie jeżeli gdzieś coś palnę. Zależy mi na trzech przypadkach. Załóżmy, że serwer DNS pełni również funkcję routera.

 

Przypadek1. Zapytanie, które przychodzi z internetu do serwera DNS pokonuje po kolei drogę:

Zapytanie: PREROUTING (tablice raw, mangle,nat) ->decyzja o routingu->INPUT(tablice mangle, input)->proces lokalny (np DNS)

Odpowiedż następuje na podstawie danych zapisanych w nagłówku pakietu czyli nie ma ponownej potrzeby "decyzji o routingu" i pakiet kierowany jest do łańcucha OUTPUT (tablice raw, mangle, nat,filter) a następnie do łańcucha POSTROUTING (tablice mangle,nat) i następuje wysłanie odpowiedzi.

 

Przypadek 2 zapytanie pochodzi z komputera w sieci LAN do internetu.

Zapytanie . Wysyłane jest przez łańcuch FORWARD (mangle,filter)->decyzja o routingu-> OUTPUT (tablice raw, mangle, nat,filter) -> POSTROUTING (tablice mangle,nat) i następuje wysłanie zapytania.

Odpowiedź PREROUTING (tablice raw, mangle,nat)->decyzja o routingu->FORWARD (mangle,filter)->komp1

 

Przypadek 3 zapytanie i odpowiedź wewnątrz sieci LAN

Zapytanie pochodzi z komp1 w sieci LAN. Wysyłane jest przez łańcuch FORWARD (mangle,filter)->decyzja o routingu->OUTPUT (tablice raw, mangle, nat,filter) - komp2.

Odpowiedź: komp2->FORWARD (mangle,filter)->OUTPUT(tablice raw, mangle, nat,filter)-komp1

 

Trzeci przypadek zakłada, że oba komputery znajdują się w tej samej sieci. Gdyby były w różnych podsieciach to zakładam że doszłaby jeszcze "decyzja o routingu"? Czy się mylę ?

 

Pozdrawiam

mariusz

 

 

 

[volt123 3]

Trzeci przypadek zakłada, że oba komputery znajdują się w tej samej sieci. Gdyby były w różnych podsieciach to zakładam że doszłaby jeszcze "decyzja o routingu"? Czy się mylę ?

Masz rację. Żeby dwie oddzielne podsieci komunikowały się ze sobą, musisz ustawić na routerze odpowiednie zasady routingu (ip route). Potem ustawiasz odpowiednie zasady w iptables z adresami i maskami aby zezwalały na ten ruch.

 

Jak router zrobiłeś sobie z komputera z linuchem, to możesz podłączyć na kilka sposobów dodatkowe sieci:

1. 2x NIC

2. dopisując dodatkowy adres do interfejsu,

3. stawiając VLAN-y https://en.wikipedia.org/wiki/IEEE_802.1Q (wymagany trunking na switchu)

 

Strukturę iptables masz tu - http://www.iptables.info/en/structure-of-iptables.html

[mariuszad 0]

Ok - dziękuję.