iptables, SNAT, DNAT

Здравейте, знам че тази тема се разискваше скоро във форума, обаче при мен нещо не успява да сработи, вече се чудя да не би да е необхододимо да се компилира нещо в кернела за да тръгне, имам ли следните редове в iptables, когато следя с trafshow какво виждам че компютърът от който правя връзката се връзва на този порт който съм указал но нищо повече.

iptables -t nat -A PREROUTING --proto tcp --dport 3050 -d XXX.YYY.XXX.YYY -j DNAT --to 10.3.100.1
iptables -t nat -A POSTROUTING --proto tcp --sport 3050 -s 10.3.100.1 -j SNAT --to XXX.YYY.XXX.YYY

в локалната мрежа сървъра си работи нормално.

А cat /proc/sys/net/ipv4/ip_forward какво вади?
Ако е 0, трябва да стане 1.

nqkakvi greshki dava li ti kato vkarash 2ta reda?
paste, ako ima

za snat mislq che trqbwa da e --to-source

btw kakvo tochno iskash da vidish i zashto ne polzvash tcpdump?

ako ti priema dvata reda bez greshka, s kernela vsichko e nared

Включен ми е ip_forward-а, приема си и редовете без никакви проблеми, просто връзката не става, пробвах го и MS VPN сървър зад линукса същата работа. Сега ще го прослушам и с tcpdump.

iptables -I FORWARD -s 10.3.100.1 -j ACCEPT
iptables -I FORWARD -s XXX.YYY.XXX.YYY -j ACCEPT
iptables -I FORWARD -d 10.3.100.1 -j ACCEPT
iptables -I FORWARD -d XXX.YYY.XXX.YYY -j ACCEPT

iptables -t nat -A PREROUTING --proto tcp --dport 3050 -d XXX.YYY.XXX.YYY -j DNAT --to-destination 10.3.100.1
iptables -t nat -A POSTROUTING --proto tcp --sport 3050 -s 10.3.100.1 -j SNAT --to-sourse XXX.YYY.XXX.YYY

Добрия Интернет струва пари!!!

Хм, при мен досега Forward записите бяха така,

iptables -A FORWARD --proto tcp --sport 3050 -d 10.3.100.1 -j ACCEPT
iptables -A FORWARD --proto tcp -s 10.3.100.1 --dport 3050 -j ACCEPT,

сега ще пробвам по твоя,

pogledni s:

iptables -L

kakva ti e default politikata na FORWARD chaina. triabva a e ACCEPT
ako ne e, promeni q:

iptables -P FORWARD ACCEPT

Това едва ли е най-умното, което може да направи. По този начин всички бози от рода на порт сканирания от разни вируси на 2000 и ХР щи излизат през това правило. А такива има, не е като да няма.

[линк]

Тая тема съм я изчел цялата, благодаря все пак, то тъпото е че пак не става, явно при мен нещо с ДНАТ става, просто Линукса не иска да изрутира пакетите до компютъра от вътрешната мрежа. Пробвал ли си нещо за дебъгване на проблема.

iptables -t nat -A PREROUTING --proto tcp --dport 3050 -d XXX.YYY.XXX.YYY -j DNAT --to-destination 10.3.100.1:3050

A tozi red ne ti trqbwa. Pyrvowo pravilo veche se e pogrijilo za tova.
iptables -t nat -A POSTROUTING --proto tcp --sport 3050 -s 10.3.100.1 -j SNAT --to XXX.YYY.XXX.YYY

Chudeh se nekoi dali se e setil, basi nikoi veche ne se opitva da misli, ili pak niama poniatie kak rabotiat neshtata.

Samo malko shte poiasnia zashto 2-nd rule e izlishno i ot tam idva problema po vsiaka veroiatnost ;)

Kokato paketa machne 1 pravilo iadroto dobavia v edna tablichka originalnia adres za koito e bilo prednanacheno, source addres, port etc. Kogato malko po kysno se vyrne paket ot dnat adres-a to proveriava v tazi tablichka kakyv ebil source addres-a originalnia adres za koito e bilo prednaznachen etc. i syotvetno promenia IP header-a taka che otsreshtnia komputyr da si pomisli che tozi paket e otgovora na predishnia.... i taka sichko e 6.

S SNAT rabotata e pochti syshtata. Predstaveti si kakva boza stava kogato sa v sila 2-te pravila..... Oshte li se chudite zashto ne raboti ;)))

P.S. Sas otgovora ne e za teb .... taman beh zapochnal da pisha malko po iadovit replay kogato videh tvoia otgovor ... posleden i reshih prosto da dobavia oshte neshtichko ;))

По този въпрос съществуват две мнения. Едното е неправилно, а другото е моето.