Problema al resolver dns con firewall

Iniciado por r4gnath0r, Enero 07, 2020, 12:43:52 PM

Tema anterior - Siguiente tema

0 Miembros y 2 Visitantes están viendo este tema.

Hola a todos.

Vereis, tengo un laboratorio de prueba con un debian 10 grafico, un servidor debian 10 y un windows 7. El servidor debian hace de firewall con iptables. En el archivo /etc/resolv.conf tiene puesto el servidor dns de la red local. El caso es que los equipos cliente no resuelven las dns. Desde la terminal puedo hacer perfectamente un ping a 8.8.8.8, pero no a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta. Sin embargo, si le añado la ip del servidor dns de google, si que me resuelve los dominios. Desde el propio firewall me permite hacer ping sin problema a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta.

El laboratorio es este:

Maquina: Windows 7
IP: 192.168.3.9
Mascara: 255.255.255.0
Gateway: 192.168.3.10

Maquina: Debian 10 Grafico
IP: 192.168.4.9
Mascara: 255.255.255.0
Gateway: 192.168.4.10

Maquina: Debian 10 Server
IP1 enp0s3: 192.168.3.10/24
IP2 enp0s8: 192.168.4.10/24
IP3 enp0s9: 192.168.2.42/24 (Salida a internet)
DNS: 192.168.2.254 (servidor dns local)

Y el archivo de iptables, algo muy sencillo, tal que:

iptables -F
iptables -X
iptables -Z
iptables -t nat -F

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.3.0/24 -o enp0s9 -j SNAT --to 192.168.2.42
iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -o enp0s9 -j SNAT --to 192.168.2.42

iptables -A FORWARD -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p icmp -s 192.168.3.0/24 -j DROP
iptables -A INPUT -p icmp -s 192.168.4.0/24 -j ACCEPT

iptables -A FORWARD -p tcp -s 192.168.3.0/24 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.4.0/24 -j ACCEPT


El caso es que cuando lo hice la primera vez, funcionaba perfectamente, resolvia dns sin problema.
¿Alguna sugerencia de lo que tengo que hacer?


Gracias.

El servidor Debian debe tener los servidores DNS del Router. Que a su vez usa los de Google o los que fueren.
Esto avala si hay servidores DNS dedicados.
Pero siempre la configuración de los DNS son los del Router , que deben ser los de Google. Y los clientes son por DHCP automático.

Tal vez no le entendí bien.
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Enero 13, 2020, 10:44:22 PM #2 Ultima modificación: Enero 13, 2020, 10:46:26 PM por DtxdF
@No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Al igual que @No tienes permitido ver los links. Registrarse o Entrar a mi cuenta no estoy muy seguro de su duda, así que aportaré mi granito de arena de acuerdo a lo que entiendo.

Por lo que me puedo imaginar usted hizo 'ping' la primera vez que realizó la prueba con la dirección IP '192.168.4.9', no tuvo problemas porque iptables le permite hacerlo según la siguiiente regla:

Código: bash
iptables -A INPUT -p icmp -s 192.168.4.0/24 -j ACCEPT


Mientras que para '192.168.3.9' descarta los paquetes, según la siguiente regla:

Código: bash
iptables -A INPUT -p icmp -s 192.168.3.0/24 -j DROP


Pruebe primero con 'REJECT', si le da un mensaje que no esperaba es la regla que está causando el conflicto, si no haga la prueba con 'ACCEPT' mientras tanto, si no le surge ningún inconveniente es la regla que está causando el problema.

Sólo es una conjetura...

~ DtxdF
~ DtxdF

El problema está en que no permite hacer ping fuera de la lan. Es decir, dentro de las subredes permite hacer ping, pero si desde cualquier equipo intento hacer ping a No tienes permitido ver los links. Registrarse o Entrar a mi cuenta por ejemplo, no resuelve las dns. Antes funcionaba sin problema. El servidor debian con iptables tiene puestas las dns en su archivo resolv.conf.

@No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

¿Ya hizo lo que le dije anteriormente?

Después qué haga lo que le dije o para hacer énfasis, aplicar la regla de IPTABLES anteriormente mencionada para hacer un ping a posteriori.

~ DtxdF
~ DtxdF