Как правильно настроить iptables для подключения через VNC?

Question

[Геннадий]

Здравствуйте. Имеется PC-роутер с Debian (192.168.0.1). Также имеется ПК с Windows (192.168.0.104). На ПК с Windows установлен TightVNC, слушающий порт 5900. Что нужно прописать в iptables на PC-роутере, чтобы можно было снаружи (интернет) подключиться к ПК с Windows через VNC?

Comments

[Александр]

Что нужно прописать в iptables

А что прописано уже?

[Геннадий]

Александр, сейчас там прописано вот что:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -F
iptables -X
iptables -Z
iptables -F -t filter
iptables -X -t filter
iptables -Z -t filter
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat
iptables -F -t mangle
iptables -X -t mangle
iptables -Z -t mangle
iptables -F -t raw
iptables -X -t raw
iptables -Z -t raw
iptables -F -t security
iptables -X -t security
iptables -Z -t security
iptables -A INPUT -i lo,eth1 -j ACCEPT
iptables -A OUTPUT -o lo,eth1 -j ACCEPT
iptables -A INPUT -i eth0,br0 -p tcp -m multiport --dports 20,21,25,80,139,443,445,1194,2285,9091 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -i eth0,br0 -p udp -m multiport --dports 123,137,138,1194 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -i eth0,br0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth0,br0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0,br0 -p tcp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -o eth0,br0 -p tcp -m multiport --dports 21,53,80,81,139,443,445,1024:65535 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i eth0,br0 -p udp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -o eth0,br0 -p udp -m multiport --dports 53,123,137,138,1024:65535 -m conntrack --ctstate NEW -j ACCEPT
iptables -A OUTPUT -o eth0,br0 -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -o eth0,br0 -j MASQUERADE

Answer 1

[kisaa]

https://www.google.com/search?q=iptables+port+forw...
Ну и убедиться, конечно, что у вас белый IP, доступный из интернета.

Comments

[Геннадий]

IP-адрес белый, хоть и динамический.

Answer 2

[АртемЪ]

Для начала нужно убедиться что у вас есть белый адрес. А уже потом настраивать iptables

Comments

[Геннадий]

IP-адрес белый, хоть и динамический.

[АртемЪ]

Если адрес белый -
iptables -t nat -A PREROUTING --dst внешний_адрес -p tcp --dport 80 -j DNAT --to-destination Локальный_адрес
Ну и разрешающее правило на FORWARD

Кстати а как вы узнали что он белый? На интерфейсе посмотрели?

[Геннадий]

АртемЪ,

Кстати а как вы узнали что он белый? На интерфейсе посмотрели?

Ну, полагаю, что если моя тестовая страничка сайта открывается извне, значит, внешний IP-адрес всё-таки белый.

iptables -t nat -A PREROUTING --dst внешний_адрес -p tcp --dport 80 -j DNAT --to-destination Локальный_адрес

Спасибо. Попробуем.