web-dev-qa-db-ja.com

iptablesルールを使用したsshサーバーへの外部アクセス

ルーターを実行していますDD-WRT。私のネットワークには、OpenSSHサーバーを実行する[〜＃〜] nas [〜＃〜]デバイスがあります。 [〜＃〜] lan [〜＃〜]の外部からOpenSSHサーバーにアクセスできるようにしたい。

これは、iptablesにルールを追加することで実現されます。

ルーターは以下を構成しました：

  1. OpenVPNクライアント
  2. DDNS

仮定：

  • <routerIp>内部ルーターIP

  • <routerPort>着信トラフィックをリッスンするためのルーターのポート

  • <nasIP>内部NAS IP

  • <nasPort>NASのOpenSSHサーバーポート

また、現在私は<routerPort> == <nasPort>を持っています

しなければならない：

  1. ルーターのポートを開く
  2. このポートに来るトラフィックを[〜＃〜] nas [〜＃〜]にルーティングします。

このタスクを実行する必要があるが機能しないルールは次のとおりです。

iptables -A FORWARD -i tun1 -p tcp -d <nasIP> --dport <nasPort> -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -d <routerIp> --dport <routerPort> -j DNAT --to-destination <nasIP>:<nasPort>

参照：

RalfFriedlの答えに従って編集してください：

ルールを次のように変更しました。

iptables -A FORWARD -i tun1 -p tcp -d <nasIP> --dport <nasPort> -j ACCEPT
iptables -t nat -A PREROUTING -i tun1 -p tcp --dport <nasPort> -j DNAT --to-destination <nasIP>:<nasPort>

しかし、どちらも機能しませんでした

外部IPを取得するにはどうすればよいですか？

ip aの出力を編集します：

1: lo:  mtu 65536 qdisc noqueue 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 brd 127.255.255.255 scope Host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope Host 
       valid_lft forever preferred_lft forever
2: imq0:  mtu 1500 qdisc fq_codel qlen 30
    link/void 
3: imq1:  mtu 16000 qdisc fq_codel qlen 11000
    link/void 
4: eth0:  mtu 1492 qdisc htb qlen 1000
    link/ether dc:ef:09:f2:87:e9 brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.3/24 brd 192.168.100.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::deef:9ff:fef2:87e9/64 scope link 
       valid_lft forever preferred_lft forever
5: eth1:  mtu 1500 qdisc fq_codel master br0 qlen 1000
    link/ether dc:ef:09:f2:87:e8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::deef:9ff:fef2:87e8/64 scope link 
       valid_lft forever preferred_lft forever
6: teql0:  mtu 1500 qdisc noop qlen 100
    link/void 
19: ip6tnl0@NONE:  mtu 1452 qdisc noop 
    link/tunnel6 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00 brd 00:00:00:00:00:00:00:00:00:00:00:00:00:00:00:00
20: br0:  mtu 1500 qdisc noqueue 
    link/ether dc:ef:09:f2:87:e8 brd ff:ff:ff:ff:ff:ff
    inet 169.254.255.1/16 brd 169.254.255.255 scope global br0:0
       valid_lft forever preferred_lft forever
    inet 192.168.2.1/24 brd 192.168.2.255 scope global br0
       valid_lft forever preferred_lft forever
    inet6 fe80::deef:9ff:fef2:87e8/64 scope link 
       valid_lft forever preferred_lft forever
21: ath0:  mtu 1500 qdisc noqueue master br0 
    link/ether 0a:b1:2c:d4:5e:f0 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::8b1:2cff:fed4:5ef0/64 scope link 
       valid_lft forever preferred_lft forever
22: ath0.1:  mtu 1500 qdisc noqueue 
    link/ether 08:b1:2c:d4:5e:f0 brd ff:ff:ff:ff:ff:ff
    inet 172.16.1.1/24 brd 172.16.1.255 scope global ath0.1
       valid_lft forever preferred_lft forever
    inet6 fe80::ab1:2cff:fed4:5ef0/64 scope link 
       valid_lft forever preferred_lft forever
23: ath1:  mtu 1500 qdisc noqueue master br0 
    link/ether dc:ef:09:f2:87:eb brd ff:ff:ff:ff:ff:ff
    inet6 fe80::deef:9ff:fef2:87eb/64 scope link 
       valid_lft forever preferred_lft forever
24: tun1:  mtu 1500 qdisc fq_codel qlen 100
    link/[65534] 
    inet 10.128.250.xxx/16 brd 10.128.255.xxx scope global tun1
       valid_lft forever preferred_lft forever
linuxsshiptablesopenvpnport-forwarding
2
T81

2番目のルールには-d <routerIp>が含まれていますが、説明によると、内部ルーターIPです。

外部からのパケットは内部IPに到着しません。外部IPが静的な場合は、外部IPを挿入できます。それ以外の場合は、外部インターフェイスを指定します。これはtun1のようです。それ以外の場合は、最初のルールも調整する必要があります。

1
RalfFriedl

RalfFriedlが正しく指摘しているように、VPNプロバイダーに接続しているので、サイトにログインして、使用するポートをプロファイルに追加する必要があります。

その後のルールは次のとおりです。

iptables -A FORWARD -i tun1 -p tcp -d <nasIP> --dport <nasPort> -j ACCEPT
iptables -t nat -I PREROUTING -i tun1 -p tcp --dport <nasPort> -j DNAT --to-destination <nasIP>

私が過去に何十回もやったこと...

1
T81