[Techinfo] Joomla 1.5 költöztetése újabb rendszerre

2016. Sze. 28., Sze, 07:06:59 CEST

A mikrotik konfigja pedig:
/ip firewall filter
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=accept chain=input in-interface=bridge1
add action=accept chain=forward connection-state=established
add action=accept chain=forward  connection-state=related
add action=accept chain=forward connection-nat-state=dstnat 
connection-state=new in-interface=DIGINET
add action=accept chain=forward out-interface=DIGINET
add action=accept chain=forward comment=sip-freepbx at 1028 dst-port=1028 
protocol=udp
add action=accept chain=forward comment=rtp-freepbx at 10000-11000 
dst-port=10000-11000 protocol=udp
/ip firewall nat
add action=masquerade chain=srcnat out-interface=DIGINET
add action=dst-nat chain=dstnat comment="sip-to-freepbx (from-lan)" 
dst-port=1028 in-interface=bridge1 protocol=udp 
to-addresses=192.168.10.250 to-ports=1028
add action=dst-nat chain=dstnat comment=sip-freepbx at 1028 dst-port=1028 
in-interface=DIGINET protocol=udp to-addresses=192.168.10.250 to-ports=1028
add action=dst-nat chain=dstnat comment=rtp-freepbx at 10000-11000 
dst-port=10000-11000 in-interface=DIGINET protocol=udp 
to-addresses=192.168.10.250 to-ports=10000-11000

Otthon szuperül működik, ráadásul dyndns a dns provider és természetesen 
változik az ip cím is. (diginet pppoe)
Egy pár dolgot még tesztelek és meglátjuk.
Köszönöm a hozzászólásokat!

2016. 09. 27. 22:55 keltezéssel, ka at mayten.sch.bme.hu írta:
> On 09/27/2016 21:25, Fehér Sándor wrote:
>> Ellenőriztem a sort a szerveren és nem "s" hanem "d" ezt elnéztem.
>> Ha úgy lenne ahogy írtam, akkor a net sem működne :)
>> Így van helyesen:
>> $IPT -A PREOUTING -t nat -i $lan -d 192.168.4.251/32 -p tcp --dport 80
>> -j DNAT --to-destination 192.168.4.251:80
>>
>
> igazan nem kotekedes, de nem ertem ennek a lenyeget.  en vagyok a 
> router.  egy csomo labam van.  az egyiken bejon egy csomag. nezem: 
> forras a lan, cel a 192.168.4.251, tcp/80-ra megy.  hopp, ezt meg kell 
> natolnom, ujrairnom a cel cimet... ugyanarra...? ennek mi ertelme?
>
> Ez semmi hasznosat nem tesz hozza a forgalomhoz, gyakorlatilag atirod 
> a 192.168.4.251 -et 192.168.4.251 -re.
>
>> Amúgy maga a megoldás az otthoni tűzfalamnak a másolása és konvertálása
>> mert otthon van egy freepbx szerverem (asterix).
>
> Asterix a rajzfilm figura, Asterisk a telefonkozpont.
>
>
>> Annyi a különbség a két rendszer között, hogy otthon mikrotik
>> routerboard van.
>
> Mint irtam az elozo levelemben, a routerek egyedi modon valositjak meg 
> a forgalom tovabbitasat es szamtalan tenyezotol fugg. Routerrol 
> routerre mas es mas.
>
>> Röviden mikrotikkel megtudtam csinálni és iptables-en nem akar menni.
>>
>
> Eddig mindket iptables, amit bemasoltal, nem azt csinalja, mint amit 
> szerettel volna :)
>
>> Futok vele még egy kört, értelmezem a leírtakat. :)
>
> En is tovabb gondoltam azota a dolgot.  Azota azon toprengek, hogy 
> vajon miert allitottad, hogya szerver a router fele kuldi el a 
> valaszt, mikozben ezt semmilyen teny nem tamasztotta ala.  Vegig azt 
> felteteleztem, hogy tuti nem arra kuldi, csak ugy gondolod, mert a 
> router a default gw.
>
> Aztan rajottem egy ujabb buktatora.  Mi van, ha az iptablesed jo, csak 
> nem birtad hiba nelkul bemasolni az emailbe?  Mi van, ha valojaban ezt 
> akartad volna irni:
>
> iptables -t nat -A PREROUTING -s $lan -s <lan range> -p tcp -d 
> <publikus cim> --dport 80 -j DNAT --to-destination <privat ip>:80
>
> Mert a fentinek ertelme is lenne es jogosan hihetne az ember, hogy 
> ettol mukodni fog: a bentrol erkezo csomagokat, amik a publikus cimre 
> mennek atiranyitod a privatra.
>
> Itt megint attol fugg minden, hogy milyen router, milyen szoftver.  De 
> ahogy annak idejen tanitottak: plan for the worst, hope for the best.
>
> Szerintem a fenti eseten a kovetkezo tortenik.  A kliensed, 
> 192.168.4.akarmi kuld egy csomagot a routernek, hiszen az internet 
> arra van.  A router a fenti iptables miatt eszreveszi, hogy ezt nem 
> kifele, hanem befele kell kuldenie a szerver privat IP cimere.  Atirja 
> a cimzett IP cimet, erintetlenul hagyja a forras IP cimet es kikuldi.
>
> A szerver pedig azt latja.  Juhe, bejott egy csomag.  Felado IP cime: 
> 192.168.4.akarmi (az eredeti).  Felado MAC cime: ez bizony a routered 
> MAC cime lesz, mert o kuldte ki a csomagot.  A szerver ezt a MAC/IP 
> parositast boldogan feljegyzi az ARP cache-be. Megfogalmazza a valaszt 
> es nekilat kikuldeni.  Hova is?
>
> A cel IP cim ugye az eredeti forras cim - ez rendben van, 
> 192.168.4.akarmi.  Ez egy halozaton van vele, orommel veszi eszre, igy 
> aztan fogja es a cache-bol kiveszi a MAC cimet es elkuldi a valaszt. 
> Igen, csak hogy a MAC cim a routere lesz, nem a PC-e aki eredetileg az 
> oldalt le akarta volna tolteni.
>
> Igy aztan a router csodalkozva latja, hogy az o MAC cimere kuldtek 
> valamit, amiben egy idegen IP cim van ami nem tartozik semmihez. Butan 
> nez, majd eldobja - ez nem nekem jott.
>
> Felteve, hogy az eredeti levelben es a masodikban is csak annyi a 
> hiba, hogy az iptables-t rosszul masoltad be es valojaban azt akartad 
> beirni, mint amit en fent - ez az emlelet pontosan megfelel annak, 
> amit tapasztalsz (ha valoban azt tapasztalod).
>
> Osszessegeben tehat azt gondolom, hogy az eredeti koncepciod nem csak 
> alapjaiban hibas, de tobb implementacios hiba is van benne.
>
> Koncepcionalisan hibas, miert egy lokalis, lan-lan forgalomnak semmi 
> de semmi keresnivaloja nincs a routereden.  Feleslegesen noveli rajta 
> a terhelest, a forgalmat, raadasul hibaja eseten a webszerver is 
> elerhetetlen lesz, pedig semmi koze hozza.
>
> Implementacios hibak pedig azert vannak benne, mert vagy az iptables 
> probalkozasaid hibasak, vagy ha az jo is, akkor sem megy jo helyre a 
> valasz forgalom - de mint irtam ez router implementacio kerdese.  Ha 
> most epp megy is, a jovoben egy masik routerrel esetleg majd nem fog.
>
> A problemadra van egy koncepcionalisan es egyebkent is helyes 
> megoldas, en a helyeedben annal maradnek - ez a foldrajzilag jellemzo 
> DNS valaszok alkalmazasa (azaz kintre a publikusat, bentre a privatot 
> valaszolja a DNS).  Hogy ezt ket DNS szerverrel, ket zonaval vagy DNS 
> doctoringgal oldod-e meg, az mar reszletkerdes.
>
> udv
> adam
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/

--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20160928/e0d87643/attachment.html>