iptables

Iskam s pomo6tta na ip tables ili po nqkuv drug na4in ako su6testvuva da prepra6tam celiq si vhodq6t traffic kum daden host (az i hosta sme s vutre6ni ip-ta , DNAT ne mi vur6i rabota) 10x predvaritelno

Zashto ne ti varshi rabota DNAT?
Pri tova polojenie nqmam ideq kak da stane s iptables. Probwai s redir. /freshmeat/

DNAT ne mi vur6i rabota za6toto za da raboti iziskva publi4no ip na vhodq6tiq interfeis , a az sum s 4astno ip

Pokaji mi kade v dokumentatziqta moga da procheta za tova iziskvane?

Az ne go 4eta ot dokumentaciqta to4no , a ot edna kniga "Linux Pulno Rukovodstvo tom II" , a i ve4e go probvah naistina ne raboti :((
iptables -t nat -A PREROUTING -p all -d <my-ip> -i eth0 -j DNAT --to <drugoto-ip>

i dvete ip-ta sa vutre6ni , naistina nqma logika da ne raboti nezavisimo kakvi sa ip-tata (vse pak tova si e moq rabota kakvo to4no 6te parvq) , no ot opit ti kazvam taka ni6to nestava , za da sraboti na eth0 trqbva da ima6 publi4no ip

написал си го почти вярно
iptables -t nat -A PREROUTING -d <my-ip> --to-source <drugoto-ip>

TANSTAAFL! There AiNt Such Thing As A Free Lunch

onzi, momcheto pravi DNAT (ne SNAT) i triabva da e --to-destination
i ako --to e dostatachno, redat si e savsem pravilen

btw redir varshi rabota

Между другото в някои дистрибуции може да се наложи прекомпилация на ядрото за да работи DNAT. Иначе не дава грешка като въвеждаш, но не работи. Трябва да се види кои модули са инсталирани.
Ако случаят е такъв, то проблема изобщо не е в IP-то, както впрочем и иначе IP-то няма никакво значение.
С две думи ако DNAT не работи на дадена машина, естествено нищо не може да се направи с DNAT на тази машина.

съгласен. рано сутрин нещо блея
както и да е - --то не е достатъчно (очевидно)

TANSTAAFL! There AiNt Such Thing As A Free Lunch

ип протокола си е ип протокол, и ип адреса си е ип адрес независимо дали е или не е от рутируема или нерутируема в интернет мрежа.
днат-а работи с ип. трудно ще му е да разбере дали това е или не е интернетски адрес.

търси проблема другаде ако мислиш , че е породен от това , че адреса ти е от нерутируема мрежа.

мисли за процеса така.
Какво прави кернела условно в 1-во лице единствено число:

пристига пакет. я да го прекарам през построутинг преди да го рутирам че тай трябва. хоп мачнах дестинеишън. пренаписвам дестинейшън адреса преди да го рутирам.после решавам да го рутирам. Поглеждам роутинг таблицата. Виждам , че за тази мрежа маршрута е през етернет 1, ок, какъв е мак адреса на това ип, да благодаря, образувам фрейм с сорс и дестинейшън мак адресите и там вкарвам ип пакета. копирам фрейма в изходящата опашка на мрежовата си карта.

това е наи-просто казано.

COOL! ! !

vsi4ko koeto kazva6 e vqrno , no vupreki vsi4ko DNAT ne raboti ako ima6 vutre6no ip na vhodq6tiq interfeis , prosto neiska , ne vijdam kakvo moje da sum sburkal pusnal sum ip_forwarding , zaredil sum vsi4ki moduli na iptables , SNAT-a mi raboti edinstvenoto ne6to koeto ne iska da trugne e DNAT
a edinstvenata pri4ina koqto az vijdam e 4e ne raboti s vutre6no ip na vhodq6tiq interfeis . ETO i citat ot knigata ot koqto 4eta :

" DNAT tozi vid promqna na adresite se izvur6va predi mar6rutiziraneto i pri nego na4alnata konekciq ot vun , naso4ena kum NAT sistemata se prepra6ta kum vutre6na sistema .................
Tozi vid promqna na adresite iziskava da imate MARSHRUTIZIRUEM IP adres. Ako trqbva da izpolzvate maskirane nqma da mojete na izpolzvate DNAT"

4akam sveji idei koito ne vklu4vat DNAT oba4e :)

kazah i shte povtoria: iztegli si redir i probwai s nego

В отговор на:

---

Tozi vid promqna na adresite iziskava da imate MARSHRUTIZIRUEM IP adres. Ako trqbva da izpolzvate maskirane nqma da mojete na izpolzvate DNAT"

---

не знам какво разбираш под маршрутизируем ип адрес. имам машина с 2 интерфейса - 10.х.х.х и 192.168.0.254. и успешно правя днат към 192.168.0.1 (като преди това съм направил вече един днат от реално ип към 10.х.х.х). и нямам грижи. никакви. просто имам статичен рутинг към 10.х.х.х (от първия сървер)и съответно към 192.168.0.1 (директно се вижда от машината с 2-те вътрешни ип-та).

нещо си обозил. ако толкова искаш - ми назначи си някакъв адрес на едната мрежарка (виж примерно някой исп в табукту и му вземи едно ип назаем) и пробвай така..

TANSTAAFL! There AiNt Such Thing As A Free Lunch

По дяволите !
onzi е абсолютно прав.

Обърни внимание на един постинг по-горе, за пускане на опцията за NAT в раздела Networking Options -> IP: Netfilter Configuration -> Full NAT(за DNAT ей сега гледах няма отделен модул, така че би трябвало това да го пуска), макар че не знам дали изобщо ще имаш -t nat като възможност ако не е пуснато това по-горе.

По-добре на колене пред бара,
отколкото прав пред струга !

Точно така е. На него проблема му е, че DNAT не му работи по някаква причина, а не че няма "маршрутизируемо" IP. Не съм сигурен трябваше ли отделен модул за DNAT, може и да не трябва както казваш.
Това в книгата за реалното IP са го писали според логиката, че няма да може да има достъп до въпросното IP отвън ако не е маршрутизируемо. Но по IP-то никакъв начин не пречи на DNAT да работи.

А ти какво разбираш пот МАРШРУТИЗИРУЕМ адрес ?
Всеки адрес е маршрутизируем, просто няколко мрежи са обявени за частни и не се маршрутизират в ПУБЛИЧНОТО ПРОСТРАНСТВО, но в локалната мрежа, както е при мен си се маршрутизират съвсем нормално, ползваме ИП-та от 192.168.х.х, 172.20.х.х и 10.х.х.х. Всичко си работи нормално, Само на моята машина има над 30 SNAT, DNAT rules в iptables.

П.С. малко по нагоре ти обясниха как трябва да стане:

iptables -t nat -A POSTROUTING -d <your.ip> -j DNAT --to-destination <dest.ip>

По този въпрос съществуват две мнения. Едното е неправилно, а другото е моето.

за това което ще правиш (и което не написа ) ще ти трябва да.

ако например както си мисля искаш да речем да си редиректнеш секюр шела от 22 порт на единият адрес (етн0 примерно) на 22 -ри порт на хост вътрешната мрежа (етн1) ще го направиш с днат, само че от интернет няма да се логнеш там при положение , че адреса ти (етн0) го маскира доставчика примерно.

Ще трябва днат-а да го направи доставчика.

А както каза колегатая и редир върши работа, даже понякога по-добра, особенно май в случаите в които правиш редирект на портове към хост, които не ти е некстхоп.