ayuda con iptables

[Charly Montana]

estimados amigos me encuentro con un problema, les comento esperando puedan
ayudarme

tengo un ruteador cisco tras de un firewall linux, el ruteador dede
establecer una VPN con las siguientes caracteristicas,

ipsec (protocolo 50) udp 500

he establecido las siguientes  reglas de redireccionamiento.

en esta primera regla me marca un error de iptables v1.3.3: Unknown arg
`--dport'
/sbin/iptables -t nat -A PREROUTING -i eth1 -p 50 -d 200.x.x.x --dport 500
-j DNAT --to-destination 192.168.x.x

en esta segunda no me marca ningun error pero no hace bien la conexion
/sbin/iptables -t nat -A PREROUTING -i eth1 -p UDP -d 200.x.x.x --dport 500
-j DNAT --to-destination 192.168.x.x

si alguien me pudiese atyudar a definir bien como debe ir la regla se los
agradeceria mucho.

saludos

[Felipe Alfaro Solana]

> tengo un ruteador cisco tras de un firewall linux, el ruteador dede
> establecer una VPN con las siguientes caracteristicas,
>
> ipsec (protocolo 50) udp 500
>
> he establecido las siguientes  reglas de redireccionamiento.
>
> en esta primera regla me marca un error de iptables v1.3.3: Unknown arg
> `--dport'
>  /sbin/iptables -t nat -A PREROUTING -i eth1 -p 50 -d 200.x.x.x --dport 500
> -j DNAT --to-destination 192.168.x.x
>
> en esta segunda no me marca ningun error pero no hace bien la conexion
>  /sbin/iptables -t nat -A PREROUTING -i eth1 -p UDP -d 200.x.x.x --dport 500
> -j DNAT --to-destination 192.168.x.x
>
> si alguien me pudiese atyudar a definir bien como debe ir la regla se los
> agradeceria mucho.

Veo que estás intentando configurar una VPN IPSec, pero el problema
con IPSec es que, a no ser que tu encaminador Cisco soporte NAT-T (NAT
Traversal), no podrás utilizar NAT.

Es decir, si tu encaminador Cisco no soporta NAT-T, tendrás que
ingeniártelas para que el tráfico IPSec llege al encaminador Cisco, a
través del firewall Linux, sin sufrir ninguna modificación la cabecera
IP y todo su contenido debe permanecer inalterada durante el
transporte). Básicamente esto significa que el encaminador Cisco
deberá usar una dirección IP pública para configurar la VPN IPSec.

Esto es consecuencia de AH y ESP, los dos subprotocolos de la suite
IPSec. Ambos implementan integridad y autentificación, por lo que
cualquier modificación en la cabecera IP o su contenido provoca que el
datagrama se considere inválido y se descarta. Las reglas que estás
utizando modifican la dirección IP de destino, lo que invalida
automáticamente los datagramas.

[Felipe Alfaro Solana]

> en esta primera regla me marca un error de iptables v1.3.3: Unknown arg
> `--dport'
>  /sbin/iptables -t nat -A PREROUTING -i eth1 -p 50 -d 200.x.x.x --dport 500
> -j DNAT --to-destination 192.168.x.x

Esta regla es incorrecta. Los protocolos 50 (IPSec ESP) y 51 (IPSec
AH) no soportan puertos (al igual que ICMP, por ejemplo):

iptables -t nat -A PREROUTING -i eth1 -p 50 -d 200.x.x.x -j DNAT
--to-destination 192.168.x.x

[Pedro Pablo]

El Lunes, 31 de Julio de 2006 22:40, Giovanni F.F. escribió:
> hola,
>
> yo "jugaba" antes con iptables, pero Shorewall es un paquete que  sirve
> mucho para implementar/administrar/entender como funcionan los
> firewall (con iptables) sobre todo para los que recien comienzan .
>
> Saludos.

Para los que empiezan aqui http://dns.bdat.net/documentos/cortafuegos/ tienen 
un descripción básica de iptables.

También es cómodo usar el servicio iptables de Fedora. En /etc/sysconfig

pongo

#IPTABLES_SAVE_ON_STOP="yes"
# Save current firewall rules on restart.
#   Value: yes|no,  default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets
# restarted.
IPTABLES_SAVE_ON_RESTART="yes"

De forma que introduzco las reglas a mano y si quiero guardarlas ejecuto 
/etc/init.d/iptables restart

y si no quiero guardarlas para el servicio y lo inicio de nuevo.

También se puede editar directamente el fichero  /etc/sysconfig/iptables

Mis dos céntimos

Saludetes