web-dev-qa-db-ja.com

IPCopパケットマングリング

私は今日の午後、クライアントの古いファイアウォールを置き換えるピクルスにいることに気づきました。新しいIPCopファイアウォール（1.4.21）を構成していますが、ZerinaOpenVPNアドオンがインストールされています。

私がする必要があること：現在、赤（WAN）、緑（LAN、192.168.20.0/24）、オレンジ（リモートネットワーク10.1.20.0/24）として設定されている3つのネットワークインターフェースがあります。オレンジ色のインターフェイスは、別の組織への直接のファイバーリンクです。

簡単な説明：この時点でトラフィックとネットワークは適切に構成されているように見えますが、LAN上に多くの（150以上の）特定のIPがあり、10.1.20.xネットワーク上のリソースにアクセスするときに、 10.1.20.0/24ネットワークから来ている（そして適切に配信されたリターントラフィック）。反対側のルーティングは以前に構成されていて問題ないはずですが、これらのIP宛てに送信されたパケットをリダイレクトして、最終的に適切な宛先に到達させる必要があります。

アドレス指定は固定されており、予測可能です（つまり、192.168.20.125-> 10.1.20.125）。知っている/etc/rc.localを介してIPCopルールセットにルールを挿入する必要があります。これをどのように構成すればよいかわかりません。 CUSTOMOUTPUTターゲットとCUSTOMINPUTターゲットがあり、どちらも現在、パケットをOVPNOUTPUT/OVPNINPUTターゲットにリダイレクトする単一のルールで構成されているため、10.1.20.xネットワーク宛てのアウトバウンドパケットに一致するルールを挿入し、にリダイレクトする必要があると思います。新しいターゲット（TO-ORANGEと呼ばれることもあります）と、CUSTOMINPUTの上部にあるFROM-ORANGEターゲットにリダイレクトするルール。それらのターゲットの下で、私はIPマッチングとマングリングを行うルールを持っているでしょう。

私はこの権利に近づいていますか？もしそうなら、私はマングルにあまり精通していないので、そのソースIPリライトの書き方の例を見ていただければ幸いです。そうでない場合、これを行うことをどのように提案しますか？

TIA！

編集：さらに、natテーブルにCUSTOMPREROUTINGターゲットとCUSTOMPOSTROUTINGターゲットがあることに気付きました。代わりに、そこにルールを投稿することもできます。

firewallrulesipcop
2
Zenham

http://netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html

これは、CUSTOMPOSTROUTINGチェーンにマスカレードルールを追加するだけでよいことを示しているようです。

iptables -t nat -A CUSTOMPOSTROUTING -o <dev-of-10-network> -j MASQUERADE

1
jdizzle