☰

Переадресация всего с внешнего IP-адреса DMZ на IP-адрес NAT с помощью iptables

tag-icon • tag-icon linux iptables nat
Переадресация всего с внешнего IP-адреса DMZ на IP-адрес NAT с помощью iptables

Я знаю, что по этому поводу много вопросов, но я все еще пытаюсь заставить это работать.

У меня есть брандмауэр с 3 внешними IP-адресами. (IP-адреса были изменены случайным образом в целях безопасности)

eth0      Link encap:Ethernet  HWaddr 50:46:5d:64:ed:e4  
          inet addr:51.215.232.147  Bcast:51.215.232.159  Mask:255.255.255.240
          inet6 addr: fe80::5246:5dff:fe64:ede4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:70219084 errors:0 dropped:17443 overruns:0 frame:0
          TX packets:63956103 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:51508818511 (51.5 GB)  TX bytes:27933240304 (27.9 GB)

eth0:1    Link encap:Ethernet  HWaddr 50:46:5d:64:ed:e4  
          inet addr:51.215.232.148  Bcast:51.215.232.159  Mask:255.255.255.240
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

eth0:2    Link encap:Ethernet  HWaddr 50:46:5d:64:ed:e4  
          inet addr:51.215.232.150  Bcast:51.215.232.159  Mask:255.255.255.240
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

И у меня есть вот такие простые правила:

# Generated by iptables-save v1.4.10 on Sat Mar  3 14:48:42 2012
*filter
:INPUT ACCEPT [13766:4986720]
:FORWARD ACCEPT [992:122980]
:OUTPUT ACCEPT [11894:5582822]
-A FORWARD -s 172.16.0.0/16 -o eth0 -j ACCEPT 
-A FORWARD -d 172.16.0.0/16 -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
COMMIT
# Completed on Sat Mar  3 14:48:42 2012
# Generated by iptables-save v1.4.10 on Sat Mar  3 14:48:42 2012
*nat
:PREROUTING ACCEPT [77:8206]
:INPUT ACCEPT [48:6367]
:OUTPUT ACCEPT [55:3300]
:POSTROUTING ACCEPT [55:3300]
-A POSTROUTING -s 172.16.0.0/16 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 10.10.0.0/16 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 10.1.0.0/16 -o eth0 -j MASQUERADE 
COMMIT
# Completed on Sat Mar  3 14:48:42 2012

Поэтому я хочу перенаправить все с 51.215.232.150 на внутренний IP 172.16.5.218.

Поэтому я подумал, что это сработает:

iptables  -t nat -I PREROUTING -p tcp -d 51.215.232.150 -j DNAT --to 172.16.5.218

Но увы нет.

Спасибо заранее. Эдвард

решение1

Обычно я бы сказал, что вам нужно соответствующее правило FORWARD, чтобы фактически разрешить трафик через таблицу FILTER:

iptables  -A FORWARD -p tcp -d 172.16.5.218 -j ACCEPT

Но ваша политика в таблице FORWARD уже установлена ​​на ACCEPT, и нет правил REJECT или DROP, поэтому все должно пройти успешно.

Попробуйте добавить правило TRACE, чтобы увидеть, куда направляется пакет:

iptables -t raw -I PREROUTING -p tcp -d 51.215.232.150 -j TRACE

А как вы тестируете? Видите ли вы трафик, который действительно доходит до ящика?

tcpdump -lnn -i eth0 host 51.215.232.150

Связанный контент