Pomoc Dodanie wpisów do iptables

[mackowiakp]

W jaki spsób można dodać wpisy do istniejącego zestawu reguł iptables w samym NAS. Chodzi mo o to że mam kilka kontenerów w NAS, wszystkie skonfigurowane jako bridge. Stąd są w tej samej sieci co NAS ale mają inne IP adresy oczywiście.
Chodzi mi o dodanie przekierować port na IP adres.
To dlatego że ma dynamiczne IP z Orange ale oczywiście urządzenie jest zawsze dostępne pod nazwą <moja_domena>.myqnapcloud.com.
I na routerze jeżeli chodzi o dostęp z zewnątrz nie ma problemu ze zrobieniem przekierowania portu na adres/port.

Problem jest jeżeli jestem z tabletem, laptopem czy telefonem gdy jestem w zasięgu domowej sieci LAN. Mam wewnętrzny DNS, z ty że z wewnątrz sieci domowej jeżeli użyję adresu <moja_domena>.myqnapcloud.com:<port> to oczywiście takie wywołanie będzie skierowane do samego NAS`a a nie do jednego z jego kontenerów.
Tak więc chciałbym dodać reguły przekierowań tak, aby jakaś modyfikacja systemu (np. dodanie konenera) nie powodowało nadpisania tych zmian.

Ma ktoś pomysł na rozwiązanie tego problemu.
Od razu piszę że nie chciałbym stosować dodatkowego kontenera z jakimś routerem bo to dublowanie rozwiązania.

Wersja oprogramowania Firmware: 4.4.3.1439
Model serwera: QNAP TS-433A

 

[Usunięty użytkownik pigers]

co ? bełkot tutaj widze
poczytaj sobie o reverse proxy

 

[mackowiakp]

Nooo. Genialna odpowiedź. Idealne w przypadku przyjmowania trapów z SNMPv3 w celu zapisania wyników pomiarów w InfluxDB.

 

[Usunięty użytkownik pigers]

to od początku:

W jaki spsób można dodać wpisy do istniejącego zestawu reguł iptables w samym NAS.

Firewall , nie router.

Chodzi mi o dodanie przekierować port na IP adres.

To robi się na routerze, zakładka przekierowanie portów.

Problem jest jeżeli jestem z tabletem, laptopem czy telefonem gdy jestem w zasięgu domowej sieci LAN. Mam wewnętrzny DNS, z ty że z wewnątrz sieci domowej jeżeli użyję adresu <moja_domena>.myqnapcloud.com:<port> to oczywiście takie wywołanie będzie skierowane do samego NAS`a a nie do jednego z jego kontenerów.

Hairpin-NAT , który musi być wspierany przez router:

Moim zdaniem potrzebujesz reverse proxy - chowasz wszystko za proxy , a ono gada z samymi dockerami
jak już tak moco dockerujesz to poczytaj o traefik.

 

[mackowiakp]

Firewall , nie router.

I/lub firewall + i/lub router + i/lub IP proxy +i/lub STUN + i/lub IP helper + i/lub cokolwiek sterującego ruchem w warstwach 2,3 i 4 równa się iptables. Zawsze. A przynajmniej w zastosowaniach o których piszemy. Zawsze - ale z wyjątkiem QNAP. Ten ze względu na brak odpowiednich modułów w jądrze, nie obsługuje iptables w warstwie 2.

To robi się na routerze, zakładka przekierowanie portów.

Hairpin-NAT , który musi być wspierany przez router:

Wszystkie podane przykłady rozwiązań ale także i inne zawierające np blokady add-serwver`ów opierają się też o iptables. Różnica to GUI, skala implementacji funkcjonalności iptables i źródeł na podstawie których tworzone są reguły. Statycznie, dynamicznie, temporary itp.

W moim przypadku nie ma konieczności mnożenia bytów czy to zewnętrznych w stosunku do NAS czy też w taki czy inny sposób zainstalowanych na nim samym.
Wystarczy bowiem dodanie 5-6 wpisów do istniejącego, domyślnego zestawu statycznych reguł. A jest on spory bo wewnętrzna sieć wirtualna łącząca NAS`a i dockery i LXC to też przecież iptables.
Tak bajwełej, mój główny router to 5G, bo to najszybszy dostępny Internet w mojej lokalizacji. Przekierowania na routerze są oczywiście możliwe (i oczywiście je wykorzystuję) ale dla ruchu przychodzącego z Internetu ale nie wewnątrz LAN. Niestety jego chipset nie jest wspierany przez DD-wrt czy OpenWRT. A to załatwiło by mi sprawę albo w jednym segmencie poprzez spanning-tree lub podzielenie LAN na dwa segmenty IP.

Tak więc może dojdziemy do rozwiązania małymi kroczkami.
Pytanie. Czy wiesz w jakim pliku QNAP trzyma zestaw reguł iptables ładowanych w czasie bootowania?

 

[Usunięty użytkownik pigers]

skoro chcesz w tym rzeźbić - nie będę cię więcej powstrzymywał
widze dwa wyjscia:
1) dodanie reguł do Running Your Own Application at Startup - QNAPedia
2) spojrzeć w /etc/init.d/container-station.sh i tam to znaleść , przy czym qnap może to budować od zera przy starcie ... więc będziesz musiał gdzieś się wpiąć swoimi wpisami .

 

[Silas Mariusz]

Pigers Ci dobrze powiedział Harpin NAT i koniec kropka.

 

[Usunięty użytkownik pigers]

@Silas Mariusz - ile wiem tyle napisałem - strzępić się dalej nie zamierzam.

 

[mackowiakp]

Kurcze, rozwiązanie problemu jest prostsze niż myślałem.
Najpierw backup reguł:

iptables-save > /etc/iptables.back

obróbka w skrypcie pliku /etc/iptables.back poprzez dodanie odpowiednich przekierowań i następnie:

iptables -F
iptables-restore < /etc/iptables.back

I wszystko.

 

[Usunięty użytkownik pigers]

a zrobiłeś restart NAS po tym wszystkim ?

 

[mackowiakp]

Oczywiście. Operację tą przeprowadzam po zabootowaniu się systemu i załadowaniu wszystkich aplikacji.
Procedura opisana "]Running Your Own Application at Startup - QNAPedia", jest stosowana przeze mnie od lat.
W moim przypadku zawiera ona tylko jeden dodatkowy wpis. Tzn uruchomienie skryptu /share/homes/media/Pobrane/start_auto. I tam wpisuję wszystko co trzeba.
Jednak "Running Your Own Application at Startup" wykonuje się co prawda po załadowaniu systemu ale jeszcze w czasie uruchamiania innych aplikacji. W tym Container Station i VPN, które też modyfikują iptables. Nie mówiąc już o zabootowaniu się Debiana w LXC. Stąd mój skrypt /share/homes/media/Pobrane/start_auto, który "ustawia" różne rzeczy (np sprawdzanie spójności bazy InfluxDB w dockerze), czeka w swojej części aż całkowicie załadowane zostaną wszystkie aplikacje i zabootoje się Debian.