[Comm] IPTABLES more problem

[Igor Solovyov <gosha@zkb.ru>]

Hi All!

Как говорится "чем дальше в лес, тем больше дров".
Исследование iptables, как замены ipchains продолжается
и пока ничего хорошего я не добился. :-((

В общем-то в основном все работает, но три неразрешимые (надеюсь
пока) проблемы остались.

1. Не работает "Transparent proxy". Сразу оговорюсь, на этой же
машине, без каких либо изменений, с этим работает ipchains.
"Неработа" заключается в следующем: обрезаются адреса в запросе.
Пример: в браузере набран адрес http://www.xxxx.ru/index.html,
в логах сквида запрос виден как GET /index.html и естественно
не проходит. Объяснения этому пока так и не удалось найти.
(еще раз напомню - с ipchains на этой же машине все работает).

2. Не работает REDIRECT. Во всяком случае, вот такая строка не работает:

iptables -t nat -A PREROUTING -p tcp --destination-port 490 \
         -j DNAT --to-destination 192.168.63.120:490

REDIRECT с машины 192.168.63.200:490 на машину 192.168.63.120:490
не происходит. Никакой ругани в логах при этом нет. Сразу скажу,
что во всех местах, где пакеты не пропускаются стоит -j LOG.
А по логам видно, что при этом редиректе пакеты нигде не
отфильтровываются, иначе я их увидел бы.
Они просто исчезают в никуда. :-(((
Проблему локализовать не удается.
Пока приходится редиректить средствами xinetd.

3. Безобразно работают машины из сетей, попадающих на этот рутер
через тунели. Если подобная машина из тунеля с целью возможности
работы с и-нетом проходит через -j SNAT --to-source ...., то с
и-нетом она работает нормально, а вот с локальными приложениями
практически никак. Особенно если в ее работе через сеть проходят
достаточно большие блоки данных. На маленьких ситуация несколько
лучше. Справедливости ради, скажу, что и с ipchains с тунельными
машинами есть проблемы, но ровно наоборот, т.е. с локальными 
приложениями проблем нет, а вот в и-нет через -j MASQ так же
практически не работает, но там ситуацию спасал transparent proxy,
а здесь - см. п.1. :-(

Система Master 2.0 + updates. Я в трансе. :-(

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia