WAN --- 공유기 ---- 서버컴1 (192.168.0.10)
ㄴ--- 서버컴2 (192.168.0.20)
이렇게 공유기 하단부 사설망에 서버컴2대가 연결되어 있고
공유기 자체내 DMZ 설정으로 외부에서 접근할 시 서버컴1에 모든 포트를 몰아준 상태입니다.
둘 다 centos 5.3 32bit이 설치 된 상태입니다.
각각 이더넷카드는 1개만 설치되어 있습니다.
각각 ftp서버가 설치 되어 있고, 각 포트는 21 포트를 사용합니다.
ddns를 이용하여 개인 도메인(exam.net)에 연결되어 있습니다.
원격에서 사용자가 ftp client를 사용하여 exam.net으로 접속을 시도하면 서버컴1(192.168.0.10:21)로 잘 접속이 되는데
만일 exam.net:7000으로 접속을 시도할 경우 이때도 서버컴1로 접속이 들어오는데,
서버컴1이 iptables 규칙을 사용하여 서버컴2의 21포트(192.168.0.20:21)로 넘길 수 있는 방법을 알고 싶습니다.
*물론 공유기 내의 포트포워딩 설정을 해도 해결된다는 것은 알고 있습니다
현재 서버컴1의 iptables 구성은 다음과 같습니다.
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 7000 -j DNAT --to-destination 192.168.0.20:21
COMMIT
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [565:40050]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p esp -j ACCEPT
-A RH-Firewall-1-INPUT -p ah -j ACCEPT
-A RH-Firewall-1-INPUT -d 224.0.0.251 -p udp -m udp --dport 5353 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 20 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 8080 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 23 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
여기서 뭘 더 어떻게 수정해야할까요...
현재는 ftp만 설정되어있지만 ssh외 기타등등도 모두 저런식으로 해결할 예정입니다.
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
를 아래와 같이 변경하세요
-A RH-Firewall-1-INPUT -p tcp --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
그리고 공유기 바로 하단에 L2 스위치 하나 물려서 내부 서버간에 발생하는 트래픽이 공유기에 영향을 미치지 않게 해주는 것이 좋습니다.
만약 서버1에서 받은 트래픽을 2로 넘겨야 한다면 2번 서버의 게이트웨이 주소는 1번서버 아이피로 넣어줘야 가능합니다. 리눅스는 잘모르지만 윈도우는 저렇게 해야하겠죠.
모든 접속을 서버1을 경유해서 서버2로 가게 할려는 목적이라면 물리적인 구성을 바꾸는게 좋습니다.
공유기에는 서버1만 물리고, 서버1에 NIC(eth1) 추가해서 서버1(eth1)---서버2(eth0)으로 바로 선을 연결해주면 좋겠죠
/박상준님
zio 공유기 사용합니다. ZIO INB5140SR
/김윤술님
DMZ 해제했습니다.
그래도 전혀 안됩니다....
/김현호님
첫번째 댓글에 대해선..
애초에 ftp는 active모드 설정으로 해놧습니다.
vsftpd를 사용하는데 passive설정으로..사용 패시브포트는 5000~5005 이렇게 구성해서 iptables에 filter ACCEPT해놔도 전혀 안되더군요...그래서 active
두번째 댓글에 대해선...
말씀하신대로 그렇게 하면 쉽게 구성이 되는데 서버1(eth1)에 연결되는 컴터가 1대라는 가정(직접 연결)에서만 통용될 것 같네요.
서버1의 eth1을 스위치에 연결해서 그 밑에 서버2/ 서버3/ 서버4. . . .이런식으로 포트포워딩한다면 안될 것 같네요.
공유기의 DMZ 해제한 상태에서도 안되는 걸로 보아 말입니다..
아..계속 관련 웹문서/ 매뉴얼들 뒤져보고 삽질해보곤 있는데..
도통 해결될 기색이 안보이네요..
참,
사실 예를 ftp로 들었던 건데, ftp일 경우는 포트를 2개 쓰니..좀 복잡해질 수 도있겟네요.
이 이후에도 답변 달아주실 분이 계시면..
ftp가 아닌 ssh라고 가정해주시고 달아주셨으면 좋겠습니다.
그럼 PREROUTING 쪽이 21포트가 아닌 22포트가 되겟죠
-A PREROUTING -i eth0 -p tcp -m tcp --dport 7000 -j DNAT --to-destination 192.168.0.20:22
김윤술님의 말씀처럼 DMZ 해제하고, 포트포워딩 해주면 돼야할듯 한데요.
김현호님 말씀처럼 랜카드 하나 더 달아서 포워딩해주는것도 괜찮을듯하구요.