iptables forward

[t0bi]

Hallo zusammen,

habe das problem, dass ich auf einem server
die pakete einer bestimmten quelladresse von
einem interface auf ein anderes forwarden muss.
habe es mit

iptables -A FORWARD --source xxx.xxx.xxx.xxx --in-interface eth3 --out-interface eth1 -j ACCEPT

versucht, klappt aber nicht, syslog sagt, die pakete würden gedroppt.

jemand eine idee?

danke und gruss,

tobi

[Philipp Söhnlein]

Tach,

iptables -A FORWARD --source xxx.xxx.xxx.xxx --in-interface eth3 --out-interface eth1 -j ACCEPT
versucht, klappt aber nicht, syslog sagt, die pakete würden gedroppt.

Klar. Mit deiner Zeile sagst du lediglich das die Pakete die von xxx.xxx.xxx.xxx auf interface eth3 ankommen und nach eth1 herausgehen akzeptiert werden sollen.
Ob das was du willst mit iptables überhaupt geht, weiß ich gar nicht, da du die Pakete zwar verändern kannst, aber die Entscheidung über welches Interface sie wieder raussollen meiner Meinung nach der Routing Tabelle überlassen werden.
Schau dir auf jeden Fall mal den Befehl "route" an lies man in der iptables manpage über DNAT, Prerouting und Postrouting nach.

Ciao
Phil

[Harlequin]

Yerf!

Tach,

iptables -A FORWARD --source xxx.xxx.xxx.xxx --in-interface eth3 --out-interface eth1 -j ACCEPT
versucht, klappt aber nicht, syslog sagt, die pakete würden gedroppt.
Klar. Mit deiner Zeile sagst du lediglich das die Pakete die von xxx.xxx.xxx.xxx auf interface eth3 ankommen und nach eth1 herausgehen akzeptiert werden sollen.

Wieso? Er gibt doch die FORWARD-Chain an.

Ob das was du willst mit iptables überhaupt geht, weiß ich gar nicht, da du die Pakete zwar verändern kannst, aber die Entscheidung über welches Interface sie wieder raussollen meiner Meinung nach der Routing Tabelle überlassen werden.

Doch, genau dafür ist die FORWARD-Chain da. Allerdings ists bei mir schon n bischen her, dass ich einen Router auf Linux-Basis administriert habe, deshalb kann ich jetzt nicht genau sagen, ob der Befehl so 100%ig richtig ist.

Schau dir auf jeden Fall mal den Befehl "route" an lies man in der iptables manpage über DNAT, Prerouting und Postrouting nach.

Ist immer eine gute Anlaufstelle.

Aber ich befürchte das Problem beim OP versteckt sich hinter der Option "-A". Append bedeutet, dass die Regel am Ende der Chain angehängt wird. Bei der Suche nach einer passenden Regel wird aber oben angefangen und bei der ersten passenden diese genommen. Wenn also bereits eine Regel, die auf diese Pakete passt existiert, kann man das Verhalten nicht durch das Hinzufügen weiterer Regeln verändern. Und üblicherweise enden die Chains mit einem DROP/REJECT aller Pakete, für die keine explizite Ausnahme weiter oben vorgenommen wurde...

Gruß,

Harlequin