From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <olvin@rambler.ru>
Message-ID: <458D7623.4070504@rambler.ru>
Date: Sat, 23 Dec 2006 20:32:03 +0200
From: Olvin <olvin@rambler.ru>
User-Agent: Mozilla Thunderbird 1.0.8 (X11/20060422)
X-Accept-Language: ru-ru, ru
MIME-Version: 1.0
To: shigorin@gmail.com,
	ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
References: <012c01c72412$55143f30$0200a8c0@mics.local>	<45898ABC.3070107@rambler.ru>	<008e01c724dc$3ede9c90$0200a8c0@mics.local>
	<20061222172945.GL12587@osdn.org.ua>
In-Reply-To: <20061222172945.GL12587@osdn.org.ua>
Content-Type: text/plain; charset=KOI8-R
Content-Transfer-Encoding: 8bit
X-Auth-User: olvin, whoson: (null)
Subject: Re: [Sysadmins] DNAT???
X-BeenThere: sysadmins@lists.altlinux.org
X-Mailman-Version: 2.1.9rc1
Precedence: list
Reply-To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
List-Id: ALT Linux sysadmin discuss <sysadmins.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/sysadmins>
List-Post: <mailto:sysadmins@lists.altlinux.org>
List-Help: <mailto:sysadmins-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Sat, 23 Dec 2006 18:32:12 -0000
Archived-At: <http://lore.altlinux.org/sysadmins/458D7623.4070504@rambler.ru/>
List-Archive: <http://lore.altlinux.org/sysadmins/>

Michael Shigorin пишет:
>>>Если машина - шлюз, то ничего такого не надоразве что
>>>запретить форвард всего кроме -p tcp --dport 80 -d
>>>192.168.1.1, а также ESTABLISHED и RELATED. Если нет, то
>>>только прокси. Возможно, прозрачный. Иначе никак. AFAIK.
>>В том то вся и проблема что 192.168.0.40 не шлюз ни в одной ни
>>в другой сети.  надо из одной сети (192.168.1.0./24) выкинуть
>>порт 80(порт не важен) машины(192.168.1.1) в другую сеть
>>192.168.0.0./24
> Вообще для работы DNAT нужен симметричный SNAT -- часом не
> упустили?  Бывало ещё забавно, когда понимание маршрутов у
> машинов из таких подсетей отличалось, в смысле ответ шёл
> мимо NAT.

NAT действует только при разрешённом forward, исключение - redirect, но
это на другой порт той машины, что шлюзом служит.

Вам нужно некое приложение, которое бы слушало на 80-м порту и само
делало запросы на 80-й порт, но на другую машину. Причём запросы один к
одному, эдакий user-space forward (не redirect). Если бы обращения шли
только по имени машины, а не по IP-адресу, то такое можно было бы
реализовать хитрой настройкой DNS-сервера bind (hint: views) и
прокси-сервера squid.