NAT con iptables

Da Guide@Debianizzati.Org.

Debian-swirl.png Versioni Compatibili
Tutte le versioni supportate di Debian

Indice

Scenario

Abbiamo una macchina Debian che vogliamo usare come gateway per Internet, per poter fornire uno o più dei seguenti servizi:

La nostra rete LAN si presenta quindi in questo modo:

    INTERNET
       |
       |
   Modem ADSL
       |
       |
   Debian NAT
       |
       |
     Switch
       |
       |
    Rete LAN

Il nostro scopo è quello di utilizzare il modem ADSL per permettere a tutte le macchine della nostra rete LAN di andare in Internet, passando attraverso il firewall Debian. Inoltre sarà configurato un accesso SSH da Internet verso una macchina della nostra rete LAN.
Per tutta la guida verranno utilizzati i seguenti indirizzi:

Installazione

In tutte le versioni di Debian il pacchetto iptables è già essere installato di default. In caso non fosse presente, con privilegi di amministrazione è sufficiente eseguire:

# apt-get install iptables

Configurazione

In questo capitolo vedremo come effettuare una semplice configurazione manuale di iptables.
Generalmente iptables viene configurato da linea di comando e non prevede file di configurazione; il modo migliore per rendere definitive le modifiche alla configurazione e mantenerle anche dopo un riavvio del server è utilizzare uno script.
Il seguente script configura iptables per un servizio di routing DNAT and SNAT (Destination/Source Network Address Translation) e in più imposta una regola per accettare le connessioni entranti sulla porta 22 (SSH), dirottandole verso la macchina locale di indirizzo IP 192.168.1.200:

#!/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
NAME=firewall
DESC="Routing - NAT - SSH"

# Indirizzo IP della eth1 del firewall
EXTERNIP="172.16.200.254"

# La macchina della rete che risponde alle richieste SSH
SSHHOST="192.168.1.200"

# Il range IP della LAN
LOCALNET="192.168.1.0/24"

case "$1" in
  start)
        iptables -t nat -A POSTROUTING -d ! ${LOCALNET} -j SNAT --to ${EXTERNIP}
        iptables -t nat -A PREROUTING --dst ${EXTERNIP} -p tcp --dport 22 -j DNAT --to-destination ${SSHHOST}
        echo 1 > /proc/sys/net/ipv4/conf/all/forwarding
        ;;
  stop)
        echo 0 > /proc/sys/net/ipv4/conf/all/forwarding
        iptables -t nat -F
        ;;
     *)
        N=/etc/init.d/$NAME
        echo "Usage: $N {start|stop}" >&2
        exit 1
        ;;
esac

exit 0

Modificate gli indirizzi IP secondo le vostre esigenze e salvate il file come /etc/init.d/firewall. A questo punto rendiamolo eseguibile con il comando:

# chmod +x firewall

e automatizziamolo:

# update-rc.d firewall defaults

Iptables in profondità

Lo script precedente utilizza delle variabili impostate all'inizio dello script stesso, ma possono essere specificati dei valori anche direttamente all'interno dei comandi iptables.
Il primo comando iptables che troviamo nello script è:

iptables -t nat -A POSTROUTING -d ! ${LOCALNET} -j SNAT --to ${EXTERNIP}

Il comando imposta il SNAT, cioè indirizza verso internet i pacchetti generati dalle macchine della LAN.
Vediamo di capirci qualcosa di più:

Tradotta in italiano, la regola suona più o meno così: prendi ogni pacchetto la cui destinazione è esterna alla LAN e sparalo su internet, dopo aver cambiato il suo indirizzo IP di provenienza con l'indirizzo IP del firewall Debian.

Il secondo comando iptables fa esattamente la cosa opposta: prende i pacchetti SSH che arrivano da internet, bloccando invece tutti gli altri, e li indirizza ad una macchina interna:

iptables -t nat -A PREROUTING --dst ${EXTERNIP} -p tcp --dport 22 -j DNAT --to-destination ${SSHHOST}

Tradotta in italiano, la regola suona più o meno così: prendi ogni pacchetto TCP che arriva alla porta 22 del firewall, cambiagli l'indirizzo di destinazione e giralo all'interno della rete LAN.
Se, oltre all'accesso SSH, desideriamo fornire altri servizi su altre porte, dovremo scrivere una regola simile per ogni servizio che debba essere raggiunto dall'esterno.

Il servizio di NAT del firewall può essere avviato o stoppato con i seguenti comandi:

# /etc/init.d/firewall start 
# /etc/init.d/firewall stop

Teniamo presente che, stoppando il servizio di NAT, impediremo l'accesso a internet a ogni macchina della nostra rete LAN.




Guida scritta da: Ferdybassi 17:35, 4 gen 2010 (CET)

Swirl-auth20.png Debianized 20%

Estesa da:
Verificata da:

Verificare ed estendere la guida | Cos'è una guida Debianized

Strumenti personali
Namespace
Varianti
Azioni
Navigazione
Risorse
Strumenti