{"id":3052,"date":"2014-09-19T13:28:59","date_gmt":"2014-09-19T13:28:59","guid":{"rendered":"http:\/\/www.deuzebranaweb.com.br\/?p=3052"},"modified":"2014-09-19T13:28:59","modified_gmt":"2014-09-19T13:28:59","slug":"entendendo-iptables-prerouting-e-postrouting","status":"publish","type":"post","link":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/2014\/09\/19\/entendendo-iptables-prerouting-e-postrouting\/","title":{"rendered":"Entendendo IPTABLES: PREROUTING e POSTROUTING"},"content":{"rendered":"
Quando o assunto \u00e9 firewall logo se pensa em usar um Linux com iptables. O que n\u00e3o falta s\u00e3o tutoriais pela Internet que ensinam como instalar e configurar um firewall no Linux usando o iptables. Infelizmente muita gente se confunde quando o assunto \u00e9 a chain PREROUTING e POSTROUTING da tabelna NAT do Netfilter.<\/div>\n
<\/div>\n
A proposta deste post \u00e9 justamente explicar o que acontece com o pacote quando passa por uma dessas chains.<\/div>\n
<\/div>\n
<\/div>\n
PREROUTING<\/b><\/i><\/span><\/div>\n
<\/div>\n
Logo que o pacote chega ele \u00e9 modificado, isso acontece antes do roteamento do pacote. \u00c9 usado em regras de DNAT e Redirecionamento de porta.<\/div>\n
<\/div>\n
Vamos analisar o cen\u00e1rio abaixo, onde estamos fazendo um DNAT, ou seja, toda requisi\u00e7\u00e3o feita para o IP 200.164.30.20 na porta 80 ser\u00e1 repassado para o IP da rede interna 192.168.2.100.<\/div>\n
<\/div>\n
\"\"<\/a><\/div>\n
<\/div>\n
<\/div>\n
<\/div>\n
A requisi\u00e7\u00e3o vem da Internet com destino 200.164.30.20:80.<\/div>\n
<\/div>\n
No nosso firewall a porta 80 esta desabilitada, neste caso o pacote seria \u201cdropado\u201d, mas como temos essa regra de IPTABLES:<\/div>\n
<\/div>\n
iptables -t nat -A PREROUTING -d 200.164.30.20 -p tcp –dport 80 -j DNAT –to 192.168.2.100<\/div>\n
<\/div>\n
Neste caso todo pacote com destino 200.164.30.20:80 ser\u00e1 repassado para 192.168.2.100:80, por\u00e9m isso acontece antes de qualquer roteamento. Veja a figura abaixo que mostra o que acontece logo que o pacote chega no firewall:<\/div>\n
<\/div>\n
\"\"<\/a><\/div>\n
<\/div>\n
<\/div>\n
Como o nosso firewall conhece a rede 192.168.2.0\/24 o pacote ser\u00e1 repassado para o IP 192.168.2.100 na porta 80. Note que o roteamento foi o \u00faltimo procedimento realizado. Neste caso n\u00e3o seria l\u00f3gico realizar o roteamento primeiro j\u00e1 que o DST possui o mesmo IP do firewall (200.164.30.20).<\/div>\n
<\/div>\n
<\/div>\n
POSTROUTING<\/b><\/i><\/span><\/div>\n
<\/div>\n
Os pacotes precisam ser modificados ap\u00f3s o roteamento. \u00c9 usado em regras de SNAT e IP MASQUERADING.<\/div>\n
<\/div>\n
Neste post vou usar o MASQUERADING para explicar como funciona o POSTROUTING.<\/div>\n
<\/div>\n
Segue abaixo a descri\u00e7\u00e3o tirada do FOCALINUX do que seria o MASQUERADING:<\/div>\n
<\/div>\n
\u201cO IP Masquerading \u00e9 um tipo especial de SNAT usado para conectar a sua rede interna a internet quando voc\u00ea recebe um IP din\u00e2mico de seu provedor\u201d.<\/div>\n
<\/div>\n
Veja o cen\u00e1rio abaixo:<\/div>\n
<\/div>\n
<\/div>\n
\"\"<\/a><\/div>\n
<\/div>\n
<\/div>\n
A m\u00e1quina 192.168.2.100 pretende acessar a INTERNET, mas para isso \u00e9 preciso ter uma regra de MASQUERADING no Firewall, onde o mesmo mascara todo acesso da m\u00e1quina de origem para que saia para a Internet com o IP do pr\u00f3prio Firewall. A regra do iptables seria assim:<\/div>\n
<\/div>\n
<\/div>\n
iptables -t nat -A POSTROUTING -s 192.168.2.100 -o eth0 -j MASQUERADE<\/pre>\n
A requisi\u00e7\u00e3o vem de uma m\u00e1quina interna da rede (192.168.2.100) com destino (dst) www.google.com<\/a>.<\/div>\n
<\/div>\n
Veja a figura abaixo que mostra o que acontece logo que o pacote chega no firewall:<\/div>\n
<\/div>\n
\"\"<\/a><\/div>\n
<\/div>\n
<\/div>\n
Quando o pacote chegar no Firewall vai ser repassado para o Gateway padr\u00e3o do Firewall que esta configurado na placa de rede com sa\u00edda para a Internet. No segundo momento, logo depois do roteamento, o pacote bate na chain POSTROUTING da nossa regra de iptables e o mesmo \u00e9 modificado para que possa navegar na Internet com um IP v\u00e1lido, no nosso caso o IP do Firewall (200.164.30.20).<\/p>\n
\u00c9 fundamental entender o fluxo do pacote quando o mesmo passa pelo Netfilter, Postrouting e Prerouting s\u00e3o chains que poucos entendem. Espero que com este post as d\u00favidas possam ter sido esclarecidas sobre o assunto.<\/p><\/div>\n
<\/div>\n
<\/div>\n
<\/div>\n
http:\/\/osvaldohp.blogspot.com.br\/2011\/11\/entendendo-iptables-prerouting-e.html<\/div>\n","protected":false},"excerpt":{"rendered":"
Quando o assunto \u00e9 firewall logo se pensa em usar um Linux com iptables. O que n\u00e3o falta s\u00e3o tutoriais pela Internet que ensinam como instalar e configurar um firewall no Linux usando o iptables. Infelizmente muita gente se confunde quando o assunto \u00e9 a…<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_angie_page":false,"page_builder":"","footnotes":""},"categories":[12],"tags":[],"class_list":["post-3052","post","type-post","status-publish","format-standard","hentry","category-iptables"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/posts\/3052","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=3052"}],"version-history":[{"count":0,"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/posts\/3052\/revisions"}],"wp:attachment":[{"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=3052"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=3052"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.deuzebranaweb.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=3052"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}