0

Tenho o seguinte cenário:

Alterei a porta do MySQL 54235, no servidor linux Centos, aceito conexões de fora apenas nessa porta.

Tenho um software de terceiros antigo e descontinuado, onde não existe opção para alterar a porta padrão 3306. Porém, esse software deverá acessar de 2 ips fixos externos.

Como faço para configurar no linux para aceitar conexão na porta 3306 somente desses 2 ips fixos, e internamente, redirecionar a conexão para a porta 54235?

1
  • Faz parte de programação, pois o banco de dados usado no sistema precisa da liberação específica para poder funcionar no servidor.
    – Mylon
    Commented 16/10/2018 às 20:16

1 Resposta 1

1

Inicialmente um ponto importante, no iptables as regras de PREROUTING que fazem os redirecionamentos de portas executam antes das regras de filtro que definem quais portas pode ser acessadas e por quais IPs, como pode-se ver no diagrama abaixo:

diagrama de regras do iptables

Assim, quando um IP tentar acessar a porta 3306 ele primeiramente será redirecionado para a porta 54235 e só em seguida são executadas as regras de filtragem de quais portas ele pode acessar. Isto significa dizer que qualquer IP que tenha acesso a porta 54235 conseguirá também acessar a porta 3306 mesmo que não tenha acesso a ela já que assim que ele acessar a porta 3306 ele já será redirecionado e só depois se verificará se ele pode acessar (mas agora ele já está na porta 54235).


Sabendo disto, caso deseje continuar então configure o iptables da seguinte forma para permitir acesso apenas a determinado ip na porta 3306 (esta regra não será útil pois como dito anteriormente ela não será verificada apenas coloquei para deixar claro as regras do iptables):

sudo iptables -A INPUT -p tcp -s IP_AQUI --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

A primeira regra você deve repetir para os dois IPs permitidos, isto fará com que apenas os ips definidos nesta regra consigam iniciar uma conexão nesta porta, o segundo passo é redirecionar as portas, o comando é este:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 3306 -j REDIRECT --to-port 54235

Por fim para não permitir outras conexões na porta 3306 (novamente esta regra também não sera executada)

iptables -A INPUT -p tcp --dport 3306 -j DROP

Para aceitar todas as conexões na porta 54235

iptables -A INPUT -p tcp --dport 54235 -j ACCEPT

E para modificar a política padrão para DROP

iptables -P INPUT DROP
9
  • Muitíssimo obrigado. Irei testar e posto o resultado.
    – Mylon
    Commented 14/10/2018 às 18:10
  • 1
    Lucas, funcionou certinho, já não sabia mais o que fazer. Grato.
    – Mylon
    Commented 14/10/2018 às 20:02
  • Aparece que eu preciso de 15 de reputação para poder marcar :/
    – Mylon
    Commented 15/10/2018 às 15:34
  • 1
    Outro detalhe Lucas, o redirecionamento funcionou, porém, verifiquei que outros IPs estão tendo acesso, sendo que só liberei 2 pelo primeiro comando.
    – Mylon
    Commented 15/10/2018 às 15:36
  • Pesquisando em fóruns, adicionei esse comando para bloquear por padrão a porta 3306, mas não funcionou: iptables -A INPUT -p tcp --destination-port 3306 -j DROP
    – Mylon
    Commented 15/10/2018 às 20:19

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .