iptables jako router, jak poprawnie otworzyć porty?

[jagrok]

Witam

Od wczoraj jestem posiadaczem ubuntu server 14.04 który postanowiłem używać jako router na swoim kompie/serwerze.
Internet działa poprawnie, niestety mam problem z przekierowaniem portów.

Mimo zastosowania poniższego skryptu, przekierowanie niestety nie działa, skanując porty dostaję informację że porty które przekierowywuję są zamknięte, mimo iż je otwieram.
Gdzie robię błąd ? Lub czego nie wiem na temat ubuntu server ? UFW już odinstalowałem dla 100% pewności

Kod: Zaznacz cały

#!/bin/bash


### BEGIN INIT INFO
# Provides:          firewall.sh
# Required-Start:    $local_fs $remote_fs
# Required-Stop:     $local_fs $remote_fs
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: Start daemon at boot time
# Description:       Enable service provided by daemon.
### END INIT INFO
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo "1" > /proc/sys/net/ipv4/ip_forward


global=$(ip addr show p4p1 | grep -o 'inet [0-9]\+\.[0-9]\+\.[0-9]\+\.[0-9]\+' | grep -o [0-9].*)
echo $global
export WAN=p4p1
export LAN=p1p1

# CLEANING
iptables -F
iptables -F -t nat
iptables -F -t mangle

# DEFAULT POLITICS
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

# INCOMING CONNECTION DROP
iptables -P INPUT DROP

# LEAVE ESTABLISHED CONNECTION
iptables -A INPUT ! -i ${WAN} -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# OPENING TCP PORTS
iptables -A INPUT -p TCP --dport 2788 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 80 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 3074 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8080 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8888 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8988 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8999 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 9200 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8002 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 8111 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 5455 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 1723 -i ${WAN} -j ACCEPT
iptables -A INPUT -p TCP --dport 53 -i ${WAN} -j ACCEPT
# OPENING UDP PORTS
iptables -A INPUT -p UDP --dport 1194 -i ${WAN} -j ACCEPT
iptables -A INPUT -p UDP --dport 53 -i ${WAN} -j ACCEPT
iptables -A INPUT -p UDP --dport 3074 -i ${WAN} -j ACCEPT
iptables -A INPUT -p UDP --dport 5060 -i ${WAN} -j ACCEPT

# FORWARDING PORTS

# Xbox Live
iptables -t nat -A PREROUTING -p tcp --dport 3074 -i ${WAN} -j DNAT --to 192.168.1.16
iptables -t nat -A PREROUTING -p udp --dport 3074 -i ${WAN} -j DNAT --to 192.168.1.16
iptables -t nat -A PREROUTING -p udp --dport 88 -i ${WAN} -j DNAT --to 192.168.1.16
iptables -t nat -A PREROUTING -p tcp --dport 53 -i ${WAN} -j DNAT --to 192.168.1.16
iptables -t nat -A PREROUTING -p udp --dport 53 -i ${WAN} -j DNAT --to 192.168.1.16
# SYNOLOGY
iptables -t nat -A PREROUTING -p udp --dport 1194 -i ${WAN} -j DNAT --to 192.168.1.10
iptables -t nat -A PREROUTING -p tcp --dport 1723 -i ${WAN} -j DNAT --to 192.168.1.10
# WEBCAM
iptables -t nat -A PREROUTING -p udp --dport 8080 -i ${WAN} -j DNAT --to 192.168.1.20
iptables -t nat -A PREROUTING -p tcp --dport 8080 -i ${WAN} -j DNAT --to 192.168.1.20
# PHONE
iptables -t nat -A PREROUTING -p tcp --dport 5060 -i ${WAN} -j DNAT --to 192.168.1.254
# MASQUARADA
iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE
#DOCSIS compliant cable modems Drop without logging.
iptables -A INPUT -p ALL -d 224.0.0.1 -j DROP
# ICMP REQUEST
iptables -A INPUT -p icmp -m state --state NEW -j ACCEPT

[Ubek308]

Czy te hosty - 192.168.1.20, 192.168.1.16 - maja default route ustawione przez twoj planowany router ?
Pamietaj ze to ruch dwustronny.
Pakiet z odpowiedzią tez musi wiedziec gdzie isc.

[jagrok]

Niestety nie mam pojęcia zbytnio na temat iptables i routingu.
Okazało się że porty były jednak otworzone, z tym że nie można było ich sprawdzić z sieci lokalnej.
Musiałem skorzystać z internetu w telefonie żeby upewnić się że przekierowania działają.
Teraz jak mniemam muszę dać informację że również to przekierowanie powinno działać od strony LANu.
Tylko jak taką regułkę stworzyć ?

Pomożecie ?

[Ubek308]

Sorry ale zeby ustawic firewall i router TRZEBA miec pojecie.
Nawet jesli ci podam gotowy plik z regulami - jutro twoj szef bedzie chcial cos dodac albo odjac i przyjdziesz do mnie znowu.
Dla mnie OK ale - jak mowi Ferdynand Kiepski - to są drogie rzeczy.


Moja rada:

PSUJ i NAPRAWIAJ.
Jak cos sam naprawisz - te wiedze bedziesz mial w mozgu do konca zycia.
Po drodze nauczysz sie 50 innych rzeczy ktore przydadza ci sie nawet sie nie spodziewasz jak szybko.
Nie wierz w drogi na skroty - click click i ready.
Tak to tylko w Microsofcie.

[jagrok]

Masz całkowitą rację, jednak jak widzę iptables to aż mi się nie dobrze robi.
Co do psucia to zbytnio nie chcę tego robić, gdy z internetu korzystają pozostali domownicy.
Co do iptables i nauki, większość poradników które widzę na temat iptables tłumaczy co dana reguła robi, nie tłumacząc co się dokładnie dzieje z danym pakietem.
W jakiem celu stosuję się wybraną regułę ? Niestety spotykam się z opisem.
Że to robi to a to robi to...
Gdzie znajdę odpowiednią wiedzę która dokładnie mi wytłumaczy co się dzieje z danym pakietem.
Co to są tabele filter, nat, mangle, raw, do czego one służą, bez wprowadzenie w podstawy te wszystkie kursy są guzik warte.
Czy więc może znasz lub polecisz coś konkretnego co jest dla Ciebie sprawdzone, opisane w zrozumiałym języku.
Wiem że google to najlepsza opcja by coś znaleźć, jednak przebicie się przez zasoby dzisiejszych śmieci w internecie czasami graniczy z cudem.

Dzięki za pomocną dłoń

[Ubek308]

Ja po parunastu latach wciaz mam chec rzygac gdy to ustawiam.

Niemniej - psuj i naprawiaj - da sie zrobic prosto.
Robie kopie zapasowa /etc/sysconfig/iptables albo katalogu.
Zmieniam cos... Dziala ?
Dobrze. Nie dziala - wracam w ciagu 5 sekund do starego ustawienia.

Akurat juz od dawna nie czytam materialow wiec nie poradze ci gdzie szukac.
Jesli za duzo smieci w Googlach - moze papierowa ksiazka bedzie lepsza ?
Cokolwiek ja robie - biore swoje stare notatki albo sciagam ustawienia z innej maszyny i modyfikuje.
Notatki to dobry zwyczaj. Zwlaszcza te gdzie zrzucalem akcje naprawy awarii.
Awaria nie zdarza sie codzien wiec te doswiadczenia sa rzadko opisywane.
Mam plik gdzie mam cala swoja kariere zawodowa a kazda notatka jest warta złoto.

[jagrok]

Czyli dokladnie tak jak ja robisz.
Do tego swoje zlote mysli zaczalem wpisywac na strone/bloga by pozniej latwo moc wracac.
Niestety pewne rzeczy robi sie zadko i mozna szybko zapomniec.

[Ubek308]

Blogi potrafią znikać, czasami calkiem znienacka.