From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <3E1E772B.5090009@symmetron.msk.ru> Date: Fri, 10 Jan 2003 10:32:59 +0300 From: =?KOI8-R?Q?=F7=CC=C1=C4=C9=CD=C9=D2?= User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.0; ru-RU; rv:1.2.1) Gecko/20021123 X-Accept-Language: ru-ru, en MIME-Version: 1.0 To: community@altlinux.ru Subject: Re: [Comm] IPTABLES more problem References: <20030109111242.0e470ad3.gosha@zkb.ru> In-Reply-To: <20030109111242.0e470ad3.gosha@zkb.ru> X-Enigmail-Version: 0.70.0.0 X-Enigmail-Supports: pgp-inline, pgp-mime Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit Sender: community-admin@altlinux.ru Errors-To: community-admin@altlinux.ru X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.0.9 Precedence: bulk Reply-To: community@altlinux.ru List-Unsubscribe: , List-Id: List-Post: List-Help: List-Subscribe: , List-Archive: Archived-At: List-Archive: List-Post: Привет всем. Igor Solovyov пишет: >Как говорится "чем дальше в лес, тем больше дров". >Исследование iptables, как замены ipchains продолжается >и пока ничего хорошего я не добился. :-(( > > > >2. Не работает REDIRECT. Во всяком случае, вот такая строка не работает: > >iptables -t nat -A PREROUTING -p tcp --destination-port 490 \ > -j DNAT --to-destination 192.168.63.120:490 > >REDIRECT с машины 192.168.63.200:490 на машину 192.168.63.120:490 >не происходит. Никакой ругани в логах при этом нет. Сразу скажу, >что во всех местах, где пакеты не пропускаются стоит -j LOG. >А по логам видно, что при этом редиректе пакеты нигде не >отфильтровываются, иначе я их увидел бы. >Они просто исчезают в никуда. :-((( >Проблему локализовать не удается. >Пока приходится редиректить средствами xinetd. > > Читайте документацию внимательней. REDIRECT это не DNAT! В данном случае, если необходимо через посредника переадресовать пакеты машине той же сети необходимы два взаимосвязанных правила, например. iptables -t nat -A PREROUTING -p tcp -s 192.168.63.200 --dport 490 \ -j DNAT --to-destination 192.168.63.120 iptables -t nat -A POSTROUTING -p tcp -d 192.168.63.120 --dport 490 \ -j SNAT --to-source <ВНУТРЕННЙ IP АДРЕС ШЛЮЗА> У Вас машина-получатель паектов (192.168.63.120) ответы шлет напрямую отправителю (192.168.63.200), так как машины находятся в одной локальной сети. Отправитель же ждет ответа от ШЛЮЗА и выбрасывает ответы как "незапрошенные". На ШЛЮЗ ответы не посылаются, естественно, в LOG они не регистрируются. -- Best regards Vladimir