Documentazione
Avvio rapido + descrizione di ogni funzione per ogni sezione e dispositivo (in continuo aggiornamento)
Inoltro di porta
Questo documento illustra l'«Inoltro di porta» del pannello: l'inoltro di porta tradizionale (iptables/nftables DNAT) sui server con IP pubblico dedicato.
In una frase
Hai un server con IP pubblico e vuoi che il traffico in arrivo su «una certa porta pubblica» venga inoltrato automaticamente a «un'altra macchina (o a un'altra porta della stessa macchina)». L'inoltro di porta serve proprio a questo.
Panoramica della funzione
Per i server con IP pubblico dedicato è possibile inoltrare il traffico in ingresso su «una certa porta pubblica» verso «IP di destinazione:porta» tramite il firewall di sistema (iptables/nftables). È l'inoltro di porta tradizionale, a livello di sistema.
Differenza rispetto al Tunnel di porta (capire prima quale usare)
| Inoltro di porta (questo documento) | Tunnel di porta | |
|---|---|---|
| Server adatti | con IP pubblico dedicato | senza IP pubblico (server in tunnel) |
| Modalità | DNAT del firewall di sistema | tunnel inverso |
| Dove avviene l'inoltro | sulla macchina di destinazione | sul server del pannello |
| Serve l'Agent | No | Sì |
Quando serve
- inoltrare una porta dell'IP pubblico di un server verso il servizio di un altro server
- mappare una porta non standard (come 8888) su una porta di servizio standard
- esporre i servizi di una macchina di rete interna tramite una macchina con IP pubblico
Esempio
Hai un server pubblico 1.2.3.4 e una macchina di rete interna 192.168.1.100 su cui gira un servizio Web (porta 80). Vuoi che chi è fuori, accedendo a 1.2.3.4:8888, arrivi alla porta 80 della rete interna:
- Protocollo: TCP
- Porta di ascolto:
8888 - IP di destinazione:
192.168.1.100 - Porta di destinazione:
80
Come si usa
Su un server di destinazione con IP pubblico entra in «Pannello di Gestione di sistema → Firewall → Inoltro di porta» e apri «Gestione inoltro di porta»:
1. Clicca «Aggiungi inoltro» e compila:
- Protocollo: TCP / UDP
- Porta di ascolto: la porta pubblica in ingresso
- IP di destinazione: l'indirizzo reale della destinazione dell'inoltro (IP pubblico o IP di rete interna instradabile)
- Porta di destinazione: la porta del servizio di destinazione
2. Dopo la creazione il traffico viene inoltrato
3. Gli inoltri creati sono mostrati in un elenco e possono essere modificati o eliminati
Note tecniche (le regole di inoltro)
Il pannello configura automaticamente tre regole sul server (esempio con TCP, ascolto 8888, destinazione 192.168.1.100:80):
1. DNAT: riscrive il traffico verso :8888 in 192.168.1.100:80
2. FORWARD in allow: autorizza il traffico di andata e di ritorno dell'inoltro
3. MASQUERADE: NAT dell'indirizzo sorgente, perché i pacchetti di ritorno tornino correttamente
> In parole semplici: DNAT «cambia la destinazione», MASQUERADE «cambia l'indirizzo di ritorno»; solo le tre regole insieme rendono l'inoltro pienamente operativo.
Avvertenze
1. Serve un IP pubblico dedicato: l'inoltro di porta avviene sulla macchina di destinazione, quindi questa deve avere un IP pubblico dedicato (il traffico arriva davvero su di essa).
2. Apertura sul firewall: quando si inoltra verso un altro server, il server di destinazione / il firewall intermedio deve consentire la porta di destinazione.
3. Modifica = eliminazione della vecchia regola + creazione: le regole del firewall di sistema non supportano la modifica sul posto; in fase di modifica la vecchia regola viene prima eliminata e poi aggiunta la nuova.
4. Il pannello supporta automaticamente i tre backend iptables-legacy / iptables / nftables, senza selezione manuale.