Почему не пробрасывается порт?

Question

[partisan42]

Доброго всем дня.
Досталось мне наследство в виде сервера с KVM, и настроенным iptables.
Признаюсь честно, я в это дело активно вникаю, но к сожалению дыры в знаниях ещё латать и латать. И как на зло свалилась задача которую нужно сделать быстро.
Суть в следующем.
1) Сделал виртуальную машину с Windows2016 с адресом 10.10.20.121
2) Поднял на нём сервер терминалов, опробовал из локальной сети, всё работает и подключается.
3) Есть у нас там файлик firewall.sh, в котором я добавил строки
iptables -t nat -A PREROUTING -p tcp --dport 19999 -s 89.189.172.47 -j DNAT --to-destination 10.10.20.121:3389
iptables -t nat -A POSTROUTING -p tcp -d 10.10.20.121/24 --dport 3389
4) Как результат, я хочу стучаться на белый ip адрес машины на порт 19999 и попадать по RDP на 10.10.20.121
5) Сделал /etc/sysconfig/firewall.sh && service iptables save && systemctl restart iptables
6) Получаю iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
7) Наблюдаю в /etc/sysconfig/iptables строку с содержанием -A PREROUTING -s 89.189.172.47/32 -p tcp -m tcp --dport 19999 -j DNAT --to-destination 10.10.20.121:3389
Иииии... Всё. Подключиться на нужный адрес не удаётся:( Я понимаю что допускаю какую то невероятно глупую ошибку, но уже весь день медитирую на firewall.sh, и не могу понять в чём проблема. Буду крайне признателен, если ткнёте пальцем, что я делаю не так?
Заранее, большое спасибо.

Comments

[Дмитрий]

вот это строка неправильная.

iptables -t nat -A POSTROUTING -p tcp -d 10.10.20.121/24 --dport 3389

должно быть чтото типа

iptables -t nat -A POSTROUTING -p tcp -s 10.10.20.121 -j SNAT --to-source <тут внешний адрес вашего сервера КВМ>

плюс я бы проверил еще FORWARD на предмет разрешен ли трафик вообще между внешкой и сервером терминало

Answer 1

[Сергей]

1. я надеюсь вы не засветили свой настоящий прямой ip, люди тут сидят безусловно добрые, но найдутся те кто и не добр вовсе
2. вот вам неплохая статья, но лучше разберитесь с iptables https://serveradmin.ru/nastroyka-iptables-v-centos-7/

Answer 2

[Анатолий Денисов]

А у вас в системе разрешен форвард пакетов? И Centos 6 или 7?

sysctl net.ipv4.ip_forward что выдает?

Comments

[partisan42]

Доброго дня.
[root@node1 ~]# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

[root@node1 ~]# lsb_release -a
LSB Version: :core-4.1-amd64:core-4.1-noarch
Distributor ID: CentOS
Description: CentOS Linux release 7.2.1511 (Core)
Release: 7.2.1511
Codename: Core

[Анатолий Денисов]

Если в /etc/sysconfig/iptables вы видите только одну строку, то, получается, у вас это единственное правило iptables. Значит, должно быть достаточно одной строки в firewall.sh. Выполнение второй команды вообще должно ошибку выдать, поэтому ее вероятно и нет в /etc/sysconfig/iptables.

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 19999 -j DNAT --to-destination 10.10.20.121:3389

eth1 нужно заменить на имя вашего сетевого интерфейса, который смотрит в интернет.