Как пробросить TCP и UDP порты на локальный адрес в Ubuntu?

@Vasek2 · Регистрация: 17.11.2013

Студворк — интернет-сервис помощи студентам

Как пробросить TCP и UDP порты на локальный ip клиента, подключённого к серверу по VPN L2TP?

Что имеется:

- Ubuntu 20.04.4 LTS x64
- VPN-сервер (L2TP)
- SSH доступ

@Alli_Lupin · 14.07.2022, 17:54

клиенты, которые будут пользоваться сервисом, тоже будут подключаться по vpn?

@Vasek2 · 14.07.2022, 17:59 **[ТС]**

Alli_Lupin, нет, по внешнему ip адресу, а убунту уже должна перенаправить клиента на сервис. Убунта сейчас выполняет роль роутера (ну точнее хочется, чтобы выполняла, а пока что только пытаемся).

@Kubuntovod · 14.07.2022, 18:19

Сообщение от Vasek2

по внешнему ip адресу, а убунту уже должна перенаправить клиента на сервис

Значит на бубунте надо сделать что-то типа такого:

Bash
1
2
iptables -t nat -A PREROUTING -p tcp -m tcp -d 19.8.232.80 --dport 22 -j DNAT --to-destination 192.168.1.15:22
iptables -t nat -A POSTROUTING -p tcp -m tcp -s 192.168.1.15 --sport 22 -j SNAT --to-source 19.8.232.80:22

И да, включить FORWARD и разрешить его.

@Alli_Lupin · 14.07.2022, 18:21

И делать это для каждого порта

@Vasek2 · 14.07.2022, 18:24 **[ТС]**

Kubuntovod, большое спасибо, видимо, то что нужно. Попробую подставить ip-адреса, надеюсь, не надо будет ребутить убунту))

@Kubuntovod · 14.07.2022, 18:51

Сообщение от Alli_Lupin

И делать это для каждого порта

Так точно.

@Vasek2 · 14.07.2022, 19:13 **[ТС]**

Kubuntovod, да, действительно работает, как нужно!

Два вопроса осталось))

Второе правило

iptables -t nat -A POSTROUTING -p tcp -m tcp -s 192.168.1.15 --sport 22 -j SNAT --to-source 19.8.232.80:22

Для чего оно нужно? Всё работает даже с одним первым правилом.

Multiport

Можно ли сделать из правил ниже правила с мультипортом и с внешним интерфейсом (т.е. не ip писать от внешки, а именно eth0)?
iptables -I FORWARD 1 -i eth0 -o eth1 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT

Чтобы не для каждого порта прописываться правило, а сразу пачкой.

Что-то вроде этого:
iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p tcp -m multiport --dports 33333,33334 -j ACCEPT
iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p tcp -m multiport --dports 33333,33334 -j ACCEPT
iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p udp -m multiport --dports 27000,27001 -j ACCEPT
iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p udp -m multiport --dports 27000,27001 -j ACCEPT

@Alli_Lupin · 14.07.2022, 21:46

можно вообще сделать прозрачный NAT. но тогда секьюрность выйдет из чата, а ваш ноут начнёт майнить. Но не для вас.

@Kubuntovod · 15.07.2022, 06:15

Сообщение от Vasek2

Для чего оно нужно? Всё работает даже с одним первым правилом.

Правило для исходящих пакетов. Если работает с одним, то и оставляйте одно.

Сообщение от Vasek2

Чтобы не для каждого порта прописываться правило, а сразу пачкой.

Возможно, поможет вот эта статья. Хотя, не так уж и много портов у Вас. Можно было бы прописать и забыть (как это обычно в линухе происходит).

@Vasek2 · 15.07.2022, 14:49 **[ТС]**

Alli_Lupin, я находил правила для iptables, которые перенаправят все порты с хоста на ноут. Это по-большому счёту как выключенный фаервол. Про майнинг понимаю, но вряд ли прорвутся через мой фаервол. Но... у меня всё же винда, поэтому всякое возможно

Спасибо вам!

Добавлено через 11 минут

Сообщение от Kubuntovod

Правило для исходящих пакетов. Если работает с одним, то и оставляйте одно.

Я когда-то давным давно в винде с этим столкнулся.
Почти во всех моих случаях кроме двух было так: если первым коннект должен сделать сервер куда-то, тогда должен был быть открыт исходящий порт (кроме исключения - DHCP и DNS сервера), а если первый коннект осуществляет клиент (что и происходит почти всегда), то достаточно открыть входящий порт. Видимо это связано с тем, что в момент стука на сервер поддерживается соединение по TCP/UDP портам и исходящие пакеты как бы "логично" должны идти обратно на клиент.
Возможно я где-то не прав, но я не спец в сетях.

Сообщение от Kubuntovod

Возможно, поможет вот эта статья. Хотя, не так уж и много портов у Вас. Можно было бы прописать и забыть (как это обычно в линухе происходит).

Ну, портов наберётся 20-30, а то и 40. И потом удалять/добавлять правила в случае чего будет немного муторно. Ведь проще удалить одно правило и добавить одно новое.
Могу попросить вас всё же немного мне помочь с данным вопросом?

Вопрос :)

Можно ли сделать из правил ниже правила с мультипортом и с внешним интерфейсом (т.е. не ip писать от внешки, а именно eth0)?
iptables -I FORWARD 1 -i eth0 -o eth1 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT
iptables -I FORWARD 1 -i eth1 -o eth0 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT

Чтобы не для каждого порта прописывать правило, а сразу пачкой.

Итог такой примерно желателен.

[TCP порты] С внешнего интерфейса -> на внутренний ip
iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p tcp -m multiport --dports 33333,33334 -j ACCEPT

[TCP порты] С внутреннего ip -> на внешний интерфейс
iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p tcp -m multiport --dports 33333,33334 -j ACCEPT

[UDP порты] С внешнего интерфейса -> на внутренний ip
iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p udp -m multiport --dports 27000,27001 -j ACCEPT

[UDP порты] С внутреннего ip -> на внешний интерфейс
iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p udp -m multiport --dports 27000,27001 -j ACCEPT

@Kubuntovod · 18.07.2022, 06:08

Хз. Не приходилось такие кульбиты исполнять. Как-то так попробуйте:

Bash
1
iptables -t nat -A PREROUTING -i eth0 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j DNAT --to-destination 192.168.42.10

Порты только должны совпадать, снаружи и внутри.

@Vasek2 · 20.07.2022, 02:22 **[ТС]**

Kubuntovod

сделал так с портами:

Bash
1
-A PREROUTING -i eth0 -p tcp -m multiport --dports 10000:10100 -j DNAT --to-destination 192.168.42.10

Также сделал резервацию ip за клиентом VPN:

Bash
1
2
Файл: /etc/ppp/chap-secrets
"user" l2tpd "password" 192.168.42.10

Большое спасибо за помощь!

Новые блоги и статьи Все статьи Все блоги /
PhpStorm 2025.3: WSL Terminal всегда стартует в ~ and_y87 14.12.2025 PhpStorm 2025. 3: WSL Terminal всегда стартует в ~ (home), игнорируя директорию проекта Симптом: После обновления до PhpStorm 2025. 3 встроенный терминал WSL открывается в домашней директории. . .	Access VikBal 11.12.2025 Помогите пожалуйста !! Как объединить 2 одинаковые БД Access с разными данными.	Новый ноутбук volvo 07.12.2025 Всем привет. По скидке в "черную пятницу" взял себе новый ноутбук Lenovo ThinkBook 16 G7 на Амазоне: Ryzen 5 7533HS 64 Gb DDR5 1Tb NVMe 16" Full HD Display Win11 Pro	Музыка, написанная Искусственным Интеллектом volvo 04.12.2025 Всем привет. Некоторое время назад меня заинтересовало, что уже умеет ИИ в плане написания музыки для песен, и, собственно, исполнения этих самых песен. Стихов у нас много, уже вышли 4 книги, еще 3. . .	От async/await к виртуальным потокам в Python IndentationError 23.11.2025 Армин Ронахер поставил под сомнение async/ await. Создатель Flask заявляет: цветные функции - провал, виртуальные потоки - решение. Не threading-динозавры, а новое поколение лёгких потоков. Откат?. . .
Поиск "дружественных имён" СОМ портов Argus19 22.11.2025 Поиск "дружественных имён" СОМ портов На странице: https:/ / norseev. ru/ 2018/ 01/ 04/ comportlist_windows/ нашёл схожую тему. Там приведён код на С++, который показывает только имена СОМ портов, типа,. . .	Сколько Государство потратило денег на меня, обеспечивая инсулином. Programma_Boinc 20.11.2025 Сколько Государство потратило денег на меня, обеспечивая инсулином. Вот решила сделать интересный приблизительный подсчет, сколько государство потратило на меня денег на покупку инсулинов. . . .	Ломающие изменения в C#.NStar Alpha Etyuhibosecyu 20.11.2025 Уже можно не только тестировать, но и пользоваться C#. NStar - писать оконные приложения, содержащие надписи, кнопки, текстовые поля и даже изображения, например, моя игра "Три в ряд" написана на этом. . .	Мысли в слух kumehtar 18.11.2025 Кстати, совсем недавно имел разговор на тему медитаций с людьми. И обнаружил, что они вообще не понимают что такое медитация и зачем она нужна. Самые базовые вещи. Для них это - когда просто люди. . .	Создание Single Page Application на фреймах krapotkin 16.11.2025 Статья исключительно для начинающих. Подходы оригинальностью не блещут. В век Веб все очень привыкли к дизайну Single-Page-Application . Быстренько разберем подход "на фреймах". Мы делаем одну. . .

@Vasek2 12 / 12 / 2 Регистрация: 17.11.2013 Сообщений: 532

	Как пробросить TCP и UDP порты на локальный адрес в Ubuntu? 14.07.2022, 14:42. Показов 2189. Ответов 51 Метки dhcp, linux, portforwarding, ubuntu, vpn (Все метки) Как пробросить TCP и UDP порты на локальный ip клиента, подключённого к серверу по VPN L2TP? Что имеется: - Ubuntu 20.04.4 LTS x64 - VPN-сервер (L2TP) - SSH доступ 0

@Alli_Lupin 5025 / 1054 / 147 Регистрация: 29.01.2013 Сообщений: 6,178
	14.07.2022, 17:54
	клиенты, которые будут пользоваться сервисом, тоже будут подключаться по vpn? 0

@Vasek2 12 / 12 / 2 Регистрация: 17.11.2013 Сообщений: 532
	14.07.2022, 17:59 [ТС]
	Alli_Lupin, нет, по внешнему ip адресу, а убунту уже должна перенаправить клиента на сервис. Убунта сейчас выполняет роль роутера (ну точнее хочется, чтобы выполняла, а пока что только пытаемся). 0

@Alli_Lupin 5025 / 1054 / 147 Регистрация: 29.01.2013 Сообщений: 6,178
	14.07.2022, 18:21
	И делать это для каждого порта 0

@Vasek2 12 / 12 / 2 Регистрация: 17.11.2013 Сообщений: 532
	14.07.2022, 18:24 [ТС]
	Kubuntovod, большое спасибо, видимо, то что нужно. Попробую подставить ip-адреса, надеюсь, не надо будет ребутить убунту)) 0

@Vasek2 12 / 12 / 2 Регистрация: 17.11.2013 Сообщений: 532
	14.07.2022, 19:13 [ТС]
	Kubuntovod, да, действительно работает, как нужно! Два вопроса осталось)) Второе правило iptables -t nat -A POSTROUTING -p tcp -m tcp -s 192.168.1.15 --sport 22 -j SNAT --to-source 19.8.232.80:22 Для чего оно нужно? Всё работает даже с одним первым правилом. Multiport Можно ли сделать из правил ниже правила с мультипортом и с внешним интерфейсом (т.е. не ip писать от внешки, а именно eth0)? iptables -I FORWARD 1 -i eth0 -o eth1 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT iptables -I FORWARD 1 -i eth1 -o eth0 -p tcp -m multiport --dports 4244,5222,5223,5228,5242,50318,59234 -j ACCEPT Чтобы не для каждого порта прописываться правило, а сразу пачкой. Что-то вроде этого: iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p tcp -m multiport --dports 33333,33334 -j ACCEPT iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p tcp -m multiport --dports 33333,33334 -j ACCEPT iptables -I FORWARD 1 -i eth0 -d 192.168.42.10 -p udp -m multiport --dports 27000,27001 -j ACCEPT iptables -I FORWARD 1 -s 192.168.42.10 -o eth0 -p udp -m multiport --dports 27000,27001 -j ACCEPT 0

@Alli_Lupin 5025 / 1054 / 147 Регистрация: 29.01.2013 Сообщений: 6,178
	14.07.2022, 21:46
	можно вообще сделать прозрачный NAT. но тогда секьюрность выйдет из чата, а ваш ноут начнёт майнить. Но не для вас. 0