• 締切済み

ipmasqadm を使ったNATでPINGも転送する

こんにちわ RedHatLinux6.2jか7.0jを使っています ipmasqadmとIPchanisを使って NATとマスカレードの設定をしているのですが pingが転送できません っというのも　ipmasqadmでicmpを指定できないですよね？ なので　pingは全て転送もとのマシンが受け取ってしまいます /usr/sbin/ipmasqadm portfw -a -P tcp -L $210.XX.XX.XX 80 -R 192.168.XX.XX 80 という感じで指定しているのですが ーPにicmpを指定できないため 210.のマシンがPINGを受け取ってしまいます (WEBに関しては210.のアドレスの指定で192.168のマシンが見れる) 何かいい方法はないでしょうか？

みんなの回答

  • ken2
  • ベストアンサー率36% (86/235)
回答No.2

pingを転送するというのは、何のために行うのでしょうか? 意味がよくわかりません。pingは、通信のテストのために使うものです。 この場合は、外部からpingをして確認することは、外部から見たwwwサーバーは、文字通り210.xxx.xxx.xxxなのですから、 そのサーバーにpingがとおればいいのです。 あとは、そのサーバーから、192.168.xxx.xxxのましんにpingがとおればいいのです。(当然pingがとおるようなポリシーになっていればですが) たとえば、80番は、そのマシンかもしれないですが、25番は違うマシンかもしれないですよね。 もし外から確認したいのであれば、telnet 210.ｘｘ.ｘｘ.ｘｘ 80とやってみればいいと思います。

  • ky33
  • ベストアンサー率12% (2/16)
回答No.1

set localhost=127.0.0.1/32 set localsubnet=192.168.xx.xx /sbin/ipchains -A input -p icmp -s $localhost --icmp-type ping -j ACCEPT /sbin/ipchains -A input -p icmp -s ! $localsubnet --icmp-type ping -j DENY で外部からのpingに返答しないようなると思います 初心者ですのであまり信用しないでください

chikama531031
質問者

補足

こんにちわ pingのパケットを拒否するのではなく pingのパケットがグローバルに来たら ローカルのマシンに転送したいのです /usr/sbin/ipmasqadm portfw -a -P tcp -L $210.XX.XX.XX 80 -R 192.168.XX.XX 80 とすればグローバルにWWWのパケットが来たら ローカルのマシンに転送できますよね？(ローカルのWEBサーバーをグローバルで見れる) 用は　外から内部のマシンにpingを打ちたいのです どうかお知恵をお貸しください

  1. カテゴリ
  2. インターネット・Webサービス
  3. インターネット接続・通信
  4. その他（インターネット接続・通信）

関連するQ&A

  • ipchainsのNATについて

    こんにちわ RedHatLinux6.2JでIPchains1.3.10を使っております ipchainsでNATを使う場合の設定はどういった書式になるのでしょうか？ /sbin/ipchains -A input -d 210.154.39.*** -j REDIRECT 8080 192.168.183.30 8080 -p tcp のような感じだと思うのですが・・・ それと　ipchainsのマニュアルって どこにインストールされるんでしょうか？ 何故か見つからなくて・・・ ipchains8だけは見つかったのですが・・・ どうかよろしくお願いいたします

  • iptablesの設定について

    IISとApachのテストサイトを構築しています。 LINUXマシンにNICを2枚差し、 インターネット側：FW-OUT(eth0) プライベート側：FW-IN(eth1) WEBサイトの仮想アドレスとして、 V_WEB(eth0:1) V_WIN2K(eth0:2) MAINTマシンからPINGは172.32.0.0は通るのですが、 当該マシンから両WEBページが閲覧できません。 記述は、 http://www.atmarkit.co.jp/flinux/rensai/security03/security03a.html を参考に変更しました。 何か手がかりがあればお願いします。 #!/bin/sh # # Define IP Address FW_OUT='172.32.0.100' FW_IN='192.168.0.1' V_WEB='172.32.0.10' V_WIN2K='172.32.0.20' R_WEB='192.168.0.10' R_WIN2K='192.168.0.20' MAINT='172.32.0.150' ANY='0.0.0.0' # # Flush chains /sbin/iptables -F # /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP /sbin/iptables -P OUTPUT DROP # /sbin/iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT /sbin/iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT # /sbin/iptables -A OUTPUT -p icmp -s $FW_OUT --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $FW_OUT -j ACCEPT # /sbin/iptables -A OUTPUT -p icmp -s $V_WEB --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $V_WEB -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WIN2K --icmp-type 0 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 8 -d $V_WIN2K -j ACCEPT # /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 0 -d $V_WEB -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WEB --icmp-type 8 -d $MAINT -j ACCEPT /sbin/iptables -A INPUT -p icmp -s $MAINT --icmp-type 0 -d $V_WIN2K -j ACCEPT /sbin/iptables -A OUTPUT -p icmp -s $V_WIN2K --icmp-type 8 -d $MAINT -j ACCEPT # /sbin/iptables -A INPUT -p TCP -s $MAINT --dport 22 -d $FW_OUT -i eth0 -j ACCEPT /sbin/iptables -A OUTPUT -p TCP ! --syn --sport 22 -s $FW_OUT -d $MAINT -o eth0 -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 80 -d $R_WEB -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s $R_WEB -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 443 -d $R_WEB -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 443 -s $R_WEB -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 80 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 80 -s $R_WIN2K -d $ANY -j ACCEPT # /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 135 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 135 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 137 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 137 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 138 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 138 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 139 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 139 -s $R_WIN2K -d $ANY -j ACCEPT /sbin/iptables -A FORWARD -p TCP -s $ANY --dport 445 -d $R_WIN2K -j ACCEPT /sbin/iptables -A FORWARD -p TCP ! --syn -m state --state ESTABLISHED --sport 445 -s $R_WIN2K -d $ANY -j ACCEPT # # Flush Nat Rules # /sbin/iptables -t nat -F # # Nat Rules # /sbin/iptables -t nat -A POSTROUTING -s $R_WEB -o eth0 -p TCP -j SNAT --to $V_WEB /sbin/iptables -t nat -A POSTROUTING -s $R_WIN2K -o eth0 -p TCP -j SNAT --to $V_WIN2K # # End Of Rules [root@firewall FW]#

  • Pingについて。

    始めまして、Ping(ICMP)に関して御伺いさせて下さい。 Windowsにてpingを行う際に、"-l”のオプションを付けて、送信するデータサイズを 指定できますが、この指定サイズはICMPのメッセージ部のサイズでしょうか？ またはIPヘッダも含めたICMP電文全体のサイズでしょうか？ もし、前述ICMPのメッセージ部のみの場合、IPヘッダのサイズはいくつになりますか？ 以上御存知の方がいらっしゃいましたら宜しく御願い致します。

  • YahooBBのNAT

    ルータはTrio3G plusです。 http://172.16.255.254/P_Frouter_napt.html でNATの設定があります。 http://172.16.255.254/helpNAT.html にはNATの説明が有り、TCP/UDPのポート番号とか書いてあります。 その説明を見る限りではNATでなくNAPTやLinuxのマスカレードだと思うのですが、本当にNATの企画なのでしょうか？NATとはポートまでは区別しないの企画だと思っていましたが。そして、同時インターネットも1台だと思っていましたが試してみると2台接続で2台ともインターネットできました。

  • ipmasqadmをiptablesで定義する方法について

    お世話になります。 Linuxをルーター機能で2枚のNIC構成で作成しています。 kernel-2.2では下記のコマンドでDMZにあるWebサーバーにポートフォアワードしていました。 /sbin/ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.0.101 80 これをkernel-2.4ではiptablesを使用して構成するようですが、その定義がいまいち理解できていません。 その定義方法は下記のものだけでよろしいのでしょうかをお尋ねします。つまり、下記のみで外部からDMZゾーンにあるWebサーバーへのアクセスが可能かどうか？です。 /sbin/iptables -A FORWARD -p tcp -s 0.0.0.0 --dport 80 -d 192.168.0.101 -j ACCEPTなど・・・ /sbin/iptables -A PREROUTING -t nat -p tcp -d 1.2.3.4 --dport 80　-j DNAT --to 192.168.0.101:80 以上のヒントをお願いします。

  • ファイアウォールとしてping of deathの設定をしたいです

    ファイアウォールとしてping of deathの設定をしたいのですが、どのように記述したらよいでしょうか？ １秒間に１回　バースト５にし、ログをとり、破棄したいです。 iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-request -j LOG --log-prefix "ping-death" iptables -A INPUT -p icmp --icmp-type echo-request -j DROP これでよろしいのでしょうか？

  • RTX1000　PPTP　NAT変換で・・・

    RTX1000をサーバとして動作させていて クライアントはXPのエッジでテストしていたんですが、 NAT変換でデフォルトゲートウェイがIPアドレスと一緒になり、サブネットマスクが255.255.255.255になってしまいます。 -------------------------------------------------- login password * administrator password * console character euc ip route default gateway xxx.xx.xxx.1 ip lan1 address xxx.xxx.x.1/24 ip lan2 address xxx.xx.xxx.200/24 ip lan2 nat descriptor 1 pp select anonymous pp bind tunnel1 pp auth request mschap pp auth username xxxxx xxxxx ppp ipcp ipaddress on ppp ipcp msext on ppp ccp type mppe-any ip pp remote address pool xxx.xxx.x.60-xxx.xxx.x.65 ip pp mtu 1280 pptp service type server pp enable anonymous tunnel select 1 tunnel encapsulation pptp tunnel enable 1 nat descriptor type 1 masquerade nat descriptor masquerade static 1 1 xxx.xxx.x.1 tcp 1723 nat descriptor masquerade static 1 2 xxx.xxx.x.1 gre syslog notice on dns server xxx.xx.xxx.xx xxx.xx.xxx.xx snmp host xxx.xx.xxx.xx snmp community read-only wide-net pptp service on --------------------------------------------------

  • ＲＴＸでＮＡＴ変換がトンネルＶＰＮに適用できない

    １拠点にてＲＴＸ1200を２台LAN3どうしで繋いでいます。（ルータ１はネットボランチVPN（ipsec）で本部と接続しています） ルータ１←→(LAN3)←→ルータ2 LAN2 →　pppoe LAN1 →　パソコン端末 ルータ１（LAN1）：172.31.90.0/24 ルータ２（LAN2）：192.168.90.0/24 ルータ２の配下に　192.168.90.254　のネットカメラをセットしました。 この状態で　本部から　172.31.90.41 と　入力することで　繋がるようにしたいのです。（他拠点も全部172.31.・・なんで全部統一したいとの要望・・・） 静的ＮＡＴの変換で可能かと考え下記の設定をしてみましたがうまくいきません。 現在ではルータ１からのnat変換は出来ています。 ルータ１から172.31.90.41でウェブカメラは監視できているのですが。 本部からだとpingが通らない現状なのです。 末筆で恐縮ですが、おわかりの方　ご教授お願いします。 ルータ１のコンフィグです。 ip route default gateway pp 1 ip route 本部 gateway tunnel 1 ip route 192.168.90.0/24 gateway ルータ２ ip lan1 address 172.31.90.10/24 ip lan1 nat descriptor 2 ip lan3 address ルータ２ pp select 1 ip pp nat descriptor 1 2 pp enable 1 tunnel select 1 ipsec tunnel 1 ip tunnel nat descriptor 2 tunnel enable 1 nat descriptor type 1 nat-masquerade nat descriptor address outer 1 ipcp nat descriptor address inner 1 172.31.90.1-172.31.90.255 nat descriptor masquerade static 1 1 172.31.90.10 udp 500 nat descriptor masquerade static 1 2 172.31.90.10 esp nat descriptor type 2 nat nat descriptor address outer 2 172.31.90.41 nat descriptor address inner 2 192.168.90.254 nat descriptor masquerade static 2 1 192.168.90.254 tcp www

  • iptablesを使用してのDNSゾーン転送の設定。

    今後Linuxをルーターとしてサーバー公開を目指しています。 グローバルIP＝10.10.10.10（ルーターインターフェース＝eth0） プライベートIP＝192.168.0.1（ルーターインターフェースeth1） PrimaryDNS＝10.10.10.10:53をプライベートIPに変換＝192.168.0.2:53 セカンダリDNS＝20.20.20.20 Linuxルータはiptablesのみ動作。 primaryDNSサーバーはwindows2000を使用しています。 iptablesにより、Preroutingを使用して10.10.10.10:53→192.168.0.2:53の変換。 POSTROUTINGにより192.168.0.2→10.10.10.10:53へ変換と設定しています。 # iptables -t nat -A PREROUTING -p tcp -d 10.10.10.10 -dport53 -j DNAT -to-destinalion 192.168.1.20:53 # iptables -t nat -A POSTROUTING -p tcp -s 10.10.10.10 -sport53 -j SNAT -to-source 192.168.1.20:53 # iptables -t nat -A PREROUTING -p udp -d 10.10.10.10 -dport53 -j DNAT -to-destinalion 192.168.1.20:53 # iptables -t nat -A POSTROUTING -p udp -s 10.10.10.10 -sport53 -j SNAT -to-source 192.168.1.20:53 そこで質問なのですが、この際Win2000でゾーン転送のセカンダリDNSの宛先アドレスはどうしたらよろしいのでしょうか？ その際、iptablesの記述も教えてください。 一応、 # iptables -A FORWARD -p tcp -dport53 -j ACCEPT # iptables -A FORWARD -p udp -dport53 -j ACCEPT 53ポートのtcp,udpを許可しています。

  • さくらVPSのVPNサーバーの設定について

    お世話になります。 現在さくらVPSサーバー内にL2TPにてVPNサーバーを構築しているのですが、行き詰まっている点があります。 サーバー内にはWebサイトがあり、VPNサーバーとして使う一方、同時にブラウザでアクセスした際にサイトを表示させたいのですが、iptabelsの設定が上手くいかない状況です。 これらを両立させることは可能でしょうか。 【VPNは接続できるがサイトが表示されない】 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT # L2TP/IPsec -A FORWARD -i ppp+ -j ACCEPT -A FORWARD -o ppp+ -j ACCEPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p esp -j ACCEPT -A INPUT -p udp -m udp --dport 1701 -j ACCEPT -A INPUT -p udp -m udp --dport 500 -j ACCEPT -A INPUT -p udp -m udp --dport 4500 -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT *nat -A POSTROUTING -s 192.168.1.128/25 -j MASQUERADE COMMIT 【サイトは表示されるがVPNが接続できない】 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :RH-Firewall-1-INPUT - [0:0] -A INPUT -j RH-Firewall-1-INPUT -A FORWARD -j RH-Firewall-1-INPUT -A RH-Firewall-1-INPUT -i lo -j ACCEPT -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT -A RH-Firewall-1-INPUT -p 50 -j ACCEPT -A RH-Firewall-1-INPUT -p 51 -j ACCEPT -A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT -A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT -A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # SSH, HTTP, FTP1, FTP2, MySQL -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 61203 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited # L2TP/IPsec -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A FORWARD -i ppp+ -j ACCEPT -A FORWARD -o ppp+ -j ACCEPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p esp -j ACCEPT -A INPUT -p udp -m udp --dport 1701 -j ACCEPT -A INPUT -p udp -m udp --dport 500 -j ACCEPT -A INPUT -p udp -m udp --dport 4500 -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT *nat -A POSTROUTING -s 192.168.1.128/25 -j MASQUERADE COMMIT 【VPNが接続でき】且つ【サイトも表示させる】方法はあるのでしょうか。 またはそもそもVPNサーバーのみしか単独で動作しないのでしょうか？ どうぞよろしくお願い致します。

注目のQ&A

カテゴリ

専門家に質問してみよう

職業から探して質問する

あなたにピッタリな商品が見つかる！ OKWAVEセレクト

質問する