URL: https://linuxfr.org/forums/linux-noyau/posts/iptables-xinetd-port-forwarding Title: iptables - xinetd - port forwarding Authors: Thomas Bétrancourt Date: 2011年11月24日T20:37:16+01:00 Tags: debian Score: 0 Hello, Je possède une machine (sous Debian Squeeze) qui fait office de routeur au sein d'un réseau. Ce serveur possède 3 adresses IP publiques sur les interfaces wan-1, wan-2 et wan-3. L'interface réseau connectant cette machine au réseau local se nomme lan-1 et a pour adresse IP 192.168.3.1. Cette machine embarque également un proxy (Squid) qui permet aux machines du réseau local d’accéder au Web via ce proxy uniquement. Au sein du réseau local, j'ai une machine qui héberge un service HTTP (via Apache2) sur les ports 80 et 443. Son IP est 192.168.3.4. Le service HTTP doit être accessible depuis l’extérieur. J'ai tout d'abord décidé d'appliquer des règles iptables afin de rediriger le trafic entrant sur les ports 80 et 443 (de l'interface wan-2) vers la machine 192.168.3.4. Cette solution fonctionne pour tout le trafic extérieur. Néanmoins, si la requête provient d'une machine de l'intérieur, elle transitera par le proxy ce qui provoquera une tentative d'accès direct aux ports 80 ou 443 directement sur l'interface du serveur routeur. Ceci se soldera évidemment par une erreur du type "Connection refused" puisque les ports 80 et 443 ne sont pas réellement ouverts. J'ai donc décidé de remplacer les règles iptables par le daemon xinetd qui ouvre les deux ports sur l'interface choisie puis redirige le trafic vers la bonne destination. Cette méthode règle alors le problème cité ci-dessus. Mais cette solution provoque un autre comportement gênant. Pour apache maintenant, toutes les requêtes proviennent de la machine routeur, soit l'intégralité des requêtes avec comme REMOTE_ADDR 192.168.3.1. J'ai tenté de rediriger avec iptables le trafic local, mais la seule façon de faire du transfert d'adresse est la table nat et la directive PREROUTING, qui n'est pas utilisée dans le cas d'un trafic local... Quelqu'un aurait-il une solution viable à proposer ? Merci...