SNAT und ICQ

[MFBASSIST]

Hallöchen,

ich bin noch ein Nixwisser in iptables. Ich hab mir ein kleines Script gebaut. Jedoch kann ich mit Masquerading kein ICQ ans laufen bringen. Das Script sieht folgendermaßen aus:

###############

#Masquerading Script'#

###############

!/bin/bash

#Pakete Clients blocken

iptables --flush

iptables -N block

iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A block -m state --state NEW -i ! ippp0 -j ACCEPT

iptables -A block -j DROP

#Ports erlaubt

iptables -A INPUT -p tcp --dport 22 -j ACCEPT #ICQ

iptables -A OUTPUT -p udp --dport 4000 -j ACCEPT #ICQ

iptables -A INPUT -p tcp --dport 20000:20019 -j ACCEPT #ICQ

Kann mir jemand weiterhelfen??

Danke !!!

Martin

[MFBASSIST]

Hatte ein wenig zu schnell geschrieben......

#!/bin/bash.......

Martin

[dr.disk]

Ich seh gerade irgendwie den Wald vor lauter Bäumen nicht , aber in Deinem Skript steht bisher noch nix von Masquerading drin. Oder hab ich da Deine Frage falsch verstanden?

[MFBASSIST]

Ist ja auch kein richtiges Masquerading. Kenne mich nicht riesig mit den Tables aus. :-)

[dr.disk]

Ich würde es genauer formulieren: ist gar kein Masquerading.

Mach Deine Frage bitte nochmal etwas genauer, dann könnte ich Dir auf jeden Fall eine Antwort geben.

[MFBASSIST]

Das ist garnicht das ganze Script. Das ist nur der Filter. Ich will ja wissen wie ich das weiterschreiben kann. Kenne mich nicht mit Maskieren aus. Hab nur mal die Syntax gesehen mehr nicht. :-). Das ist jetzt nur damit schonmal die Ports frei sind. Wie geht das mit dem Masquerading war eigentlich meine Frage *g*. Bzw. wie gehts weiter?

Grüße

Martin:confused:

[dr.disk]

Also gut, jetzt ist klarer was Du willst.

Allgemeines zum Thema Masquerading: hierbei wird beim routen die Absenderadresse durch die des Routers ersetzt. Häufig will man damit z.B. ein privates Klasse-C Netz über einen Linux Router/Proxy an das Internet anbinden.

Masquerading ist also eine Sache der Forward Chain, die Input und Output Chains werden seit Kernel 2.4.x dafür nicht mehr durchlaufen.

Folgende drei Zeilen schalten MASQ für alle Verbindungen an:

iptables -P FORWARD ACCEPT

iptables -t nat -A POSTROUTING -j MASQUERADE

echo 1 > /proc/sys/net/ipv4/ip_forward

Zeile 1: Default Policy für Forward auf ACCEPT, alles erlauben. Sinnvoll ist natürlich DENY und dann nur diejenigen Ports öffnen die Du auch brauchst (analog zu INPUT und OUTPUT-Chain)

Zeile 2: Alles was geroutet wird Maskieren. Die Entscheidung ob geroutet wird oder nicht sollte bereits in der FORWARD-Chain gefallen sein.

Zeile 3: damit Linux auch routet muß man diese Funktion anschalten. Das geht z.B. mit dieser Zeile. Eine 0 anstelle der 1 schaltet das Ganze wieder aus.

Ich hoffe, ich konnte damit helfen. Für weitere Fragen bin erreichbar. :cool: