Re: [Comm] IPTABLES more problem

[Владимир <fmfm@symmetron.msk.ru>]

Привет всем.

Igor Solovyov пишет:

>Как говорится "чем дальше в лес, тем больше дров".
>Исследование iptables, как замены ipchains продолжается
>и пока ничего хорошего я не добился. :-((
>
>  
>

>2. Не работает REDIRECT. Во всяком случае, вот такая строка не работает:
>
>iptables -t nat -A PREROUTING -p tcp --destination-port 490 \
>         -j DNAT --to-destination 192.168.63.120:490
>
>REDIRECT с машины 192.168.63.200:490 на машину 192.168.63.120:490
>не происходит. Никакой ругани в логах при этом нет. Сразу скажу,
>что во всех местах, где пакеты не пропускаются стоит -j LOG.
>А по логам видно, что при этом редиректе пакеты нигде не
>отфильтровываются, иначе я их увидел бы.
>Они просто исчезают в никуда. :-(((
>Проблему локализовать не удается.
>Пока приходится редиректить средствами xinetd.
>  
>
Читайте документацию внимательней. REDIRECT это не DNAT!
В данном случае, если необходимо через посредника переадресовать
пакеты машине той же сети необходимы два взаимосвязанных правила, например.

iptables -t nat -A PREROUTING -p tcp -s 192.168.63.200 --dport 490 \
         -j DNAT --to-destination 192.168.63.120

iptables -t nat -A POSTROUTING -p tcp -d 192.168.63.120 --dport 490 \
         -j SNAT --to-source <ВНУТРЕННЙ IP АДРЕС ШЛЮЗА>

У Вас машина-получатель паектов (192.168.63.120) ответы шлет напрямую 
отправителю
(192.168.63.200), так как машины находятся в одной локальной сети. 
Отправитель же ждет
ответа от ШЛЮЗА и выбрасывает ответы как "незапрошенные".
На ШЛЮЗ ответы не посылаются, естественно, в LOG они не регистрируются.

-- 
Best regards
Vladimir