Redirection de ports

Cet article présente la « Redirection de ports » du panneau — la redirection de ports classique (DNAT iptables/nftables) sur un serveur disposant d'une IP publique dédiée.

En une phrase

Vous avez un serveur avec IP publique et vous voulez que le trafic reçu sur « un port public » soit automatiquement envoyé vers « une autre machine (ou un autre port de la même machine) ». C'est exactement ce que fait la redirection de ports.

Présentation de la fonctionnalité

Pour un serveur disposant d'une IP publique dédiée, le pare-feu système (iptables/nftables) peut rediriger le trafic entrant d'« un port public » vers « une IP:port cible ». C'est la redirection de ports classique, au niveau système.

Différence avec le tunnel de ports (à trancher d'abord)

Cas d'usage

• Rediriger un port de l'IP publique du serveur vers un service d'un autre serveur
• Mapper un port non standard (comme 8888) vers le port standard d'un service
• Exposer un service d'une machine interne via une machine disposant d'une IP publique

Exemple

Vous avez un serveur public 1.2.3.4 et une machine interne 192.168.1.100 faisant tourner un service Web (port 80). Vous voulez que l'accès à 1.2.3.4:8888 depuis l'extérieur équivaille à l'accès au port 80 de la machine interne :

• Protocole : TCP
• Port d'écoute : 8888
• IP cible : 192.168.1.100
• Port cible : 80

Comment l'utiliser

Sur le serveur cible disposant d'une IP publique, allez dans « Panneau de gestion système → Pare-feu → Redirection de ports » et ouvrez « Gestion de la redirection de ports » :

1. Cliquez sur « Ajouter une redirection » et renseignez :

• Protocole : TCP / UDP
• Port d'écoute : le port public d'entrée
• IP cible : l'adresse réelle de destination (IP publique ou IP privée routable)
• Port cible : le port du service de destination

2. Une fois créée, le trafic est aussitôt redirigé

3. Les redirections créées sont listées et peuvent être modifiées ou supprimées

Détails techniques (règles de redirection)

Le panneau configure automatiquement trois règles sur le serveur (exemple avec TCP, écoute 8888, cible 192.168.1.100:80) :

1. DNAT : réécrit le trafic vers :8888 en 192.168.1.100:80

2. Autorisation FORWARD : laisse passer le trafic de redirection aller/retour

3. MASQUERADE : traduction d'adresse source, pour que les paquets de retour reviennent correctement

> En clair : DNAT « change la destination », MASQUERADE « change l'adresse de retour » ; les trois règles doivent agir ensemble pour que la redirection fonctionne complètement.

Points d'attention

1. IP publique dédiée requise : la redirection de ports s'effectue sur la machine cible elle-même, ce qui exige que ce serveur ait une IP publique dédiée (le trafic arrive réellement sur elle).

2. Autorisation du pare-feu : lors d'une redirection vers un autre serveur, le serveur cible / le pare-feu intermédiaire doit laisser passer le port cible.

3. Modifier = supprimer l'ancienne règle + en créer une nouvelle : les règles de pare-feu système ne permettent pas de modification en place ; lors d'une édition, l'ancienne règle est supprimée puis la nouvelle ajoutée.

4. Le panneau s'adapte automatiquement aux trois backends iptables-legacy / iptables / nftables, sans choix manuel.