Iptables dominio in regola?

[Uno]

Ma è impossibile?
Credevo fosse possibile ma non ne salto fuori
A me servirebbe una regola che giri tutte le richieste che arrivano per un determinato dominio (es= example.com) su un determinato indirizzo IP.

Grazie per eventuali risposte

[Alex]

immagino si parli di un ip del nat esatto?
Sinceramente non credo si possa matchare *dominio.tld* direttamente su iptables dovresti comunque avere 2 interfaccie distinte e fare un check sul destination

[guest]

Ma è impossibile?
Credevo fosse possibile ma non ne salto fuori
A me servirebbe una regola che giri tutte le richieste che arrivano per un determinato dominio (es= example.com) su un determinato indirizzo IP.

Grazie per eventuali risposte

immagino si parli di un ip del nat esatto?
Sinceramente non credo si possa matchare *dominio.tld* direttamente su iptables dovresti comunque avere 2 interfaccie distinte e fare un check sul destination

Assolutamente no, sono su due livelli diversi dello stack.
Iptables lavora, normalmente, a L3 (al limite anche L2 con ebtables).
Ci sono delle patch per farlo lavorare a L7 ma sinceramente non saprei come filtrare per dominio. Tali patch si usano per filtrare in base al contenuto del protocollo, ad esempio per bloccare il p2p.

Detto questo, richieste di che tipo? HTTP?
In tal caso lo puoi fare mettendo in piedi un reverse proxy, che sia squid, apache o altro non cambia niente.

Comunque la metti, ti serve un proxy, bisogna solo capire per quale protocollo...

[Uno]

Che domande difficili che mi fai Alex
Non so cosa sia un IP del nat.
Io vorrei dalla scheda e dall'IP pubblico far entrare le richieste per il dominio XXXX e girarle ad un IP privato della lan... ovviamente questo non per un solo dominio, ma per tutti quelli che mi occorrono.

[Uno]

Comunque la metti, ti serve un proxy, bisogna solo capire per quale protocollo...

I soliti web http, https, pop, smtp e credo basti

[Derevko]

Che domande difficili che mi fai Alex
Non so cosa sia un IP del nat.
Io vorrei dalla scheda e dall'IP pubblico far entrare le richieste per il dominio XXXX e girarle ad un IP privato della lan... ovviamente questo non per un solo dominio, ma per tutti quelli che mi occorrono.

Con iptables puoi redirigere *tutte* le connessioni alla porta 80. Se devi redirigere solo determinati domini, allora ti serve un reverse proxy come ti ha scritto guest. mod_proxy di apache va bene.

[guest]

Non so cosa sia un IP del nat.
Io vorrei dalla scheda e dall'IP pubblico far entrare le richieste per il dominio XXXX e girarle ad un IP privato della lan... ovviamente questo non per un solo dominio, ma per tutti quelli che mi occorrono.

Si, ma richieste via web? Quindi chi visita il sito www.pippo.it deve andare a finire su www.pluto.com che è nella tua macchina interna?

Se la risposta è si, con apache bastano 2 righe dentro l'htaccess.
Con squid forse è un po più complicato perchè devi configurare squid.

I soliti web http, https, pop, smtp e credo basti

Occhio che ogni protocollo ha bisogno del suo proxy.
Per HTTP non ci sono problemi, per HTTPS non saprei, il fatto che è cifrato forse potrebbe dare fastidio in caso di redirect.

POP3 lo fai con perdition. Se vuoi ti mando LA RIGA (è una) di configurazione che ti serve.

SMTP probabilmente con postfix e qualche mappa creata ad-hoc.

[Uno]

Ok allora studio. Grazie a tutti, se avete altre idee sono sempre bene accette

[Uno]

Sono Alessandro.

Rispondevo all'Alex che ha scritto prima di te

Si, ma richieste via web? Quindi chi visita il sito www.pippo.it deve andare a finire su www.pluto.com che è nella tua macchina interna?

No volevo che rimanesse su pippo.it ma su quell'IP locale (per via dei certificati)

Se la risposta è si, con apache bastano 2 righe dentro l'htaccess.
Con squid forse è un po più complicato perchè devi configurare squid.



Occhio che ogni protocollo ha bisogno del suo proxy.
Per HTTP non ci sono problemi, per HTTPS non saprei, il fatto che è cifrato forse potrebbe dare fastidio in caso di redirect.

POP3 lo fai con perdition. Se vuoi ti mando LA RIGA (è una) di configurazione che ti serve.

SMTP probabilmente con postfix e qualche mappa creata ad-hoc.

Studio tutto

[guest]

Ok allora studio. Grazie a tutti, se avete altre idee sono sempre bene accette

Qui ci son poche idee da tirar furoi.
Vai giù di proxy a manetta.
E' più il tempo necessario ad implementare la situazione di quello necessario a pensarla.

Tutto questa confusione nasce dal fatto che vuoi filtrare per dominio, perchè, come ha detto Derevko, se ti accontenti di spostare TUTTO il protocollo, puoi farlo con iptables.

Hint: ma sei in una LAN? Potresti (soluzione ORRIBILE) impostare 1 ip diverso per ogni dominio sul gateway, e fare il redirect di tutto il dominio. Così facendo, puoi spostare domini a piacere, dato che ognuno avrà il suo IP...

Esempio:
pippo.it punta a 10.0.0.1
pluto.com punta a 10.0.0.2

sul gateway configuri degli alias per la scheda di rete corrispondenti agli ip (quindi tutti arrivano sul gateway) poi fai redirect in base all'ip di destinazione sulla tua macchina interna.
Sposteresti interi domini ed anche i protocolli (esempio l'SMTP di 10.0.0.2 corrisponde ad un solo dominio)

[guest]

Rispondevo all'Alex che ha scritto prima di te

a ok, non il mio alex. allora edito il messaggio prima di ritrovarmi un occhio nero.

[Derevko]

sul gateway configuri degli alias per la scheda di rete corrispondenti agli ip (quindi tutti arrivano sul gateway) poi fai redirect in base all'ip di destinazione sulla tua macchina interna.

Immagino che lui voglia routare dalla wan alla lan per dominio, quindi i domini risolveranno tutti al medesimo ip.

[Uno]

Esempio:
pippo.it punta a 10.0.0.1
pluto.com punta a 10.0.0.2

sul gateway configuri degli alias per la scheda di rete corrispondenti agli ip (quindi tutti arrivano sul gateway) poi fai redirect in base all'ip di destinazione sulla tua macchina interna.
Sposteresti interi domini ed anche i protocolli (esempio l'SMTP di 10.0.0.2 corrisponde ad un solo dominio)

Questo vorrei fare entrando da un solo IP pubblico (purtroppo non posso prenderne altri)

[Uno]

Si può fare? Prima che divento matto a provarci....
Grasie

[guest]

Immagino che lui voglia routare dalla wan alla lan per dominio, quindi i domini risolveranno tutti al medesimo ip.

In tal caso si.
Ma se fosse LAN su LAN .....