Есть вот такая конфигурация:

#!/bin/sh
INET_IP="xx.xxx.xxx.xx"
INET_IFACE="eth0"
INET_BROADCAST="xx.xx.xx.z"

LAN_IP="192.168.0.100"
LAN_IP_RANGE="192.168.0.0/24"
LAN_IFACE="eth1"

LO_IFACE="lo"
LO_IP="127.0.0.1"

IPTABLES="/usr/local/sbin/iptables"

echo "1" > /proc/sys/net/ipv4/ip_forward

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

$IPTABLES -N bad_tcp_packets

$IPTABLES -N allowed
$IPTABLES -N tcp_packets
$IPTABLES -N udp_packets
$IPTABLES -N icmp_packets

/usr/local/sbin/iptables  -t  nat  -A  POSTROUTING  -o eth0 -j  MASQUERADE
$IPTABLES -A POSTROUTING -d 192.168.0.5 -p tcp -m tcp -m multiport --dports 2106,7106 -j SNAT --to-source 195.225.0.100

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset

$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"

$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 2106 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 7106 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 3000 -j allowed

$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4000 -j ACCEPT

$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT

$IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT

$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets
$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT INPUT packet died: "

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died: "

$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 2106 -j DNAT --to-destination 192.168.0.5:2106
$IPTABLES -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 2106 -j ACCEPT

$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 7106 -j DNAT --to-destination 192.168.0.5:7106
$IPTABLES -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 7106 -j ACCEPT

$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 3000 -j DNAT --to-destination 192.168.0.119:3000
$IPTABLES -A FORWARD -i eth0 -d 192.168.0.119 -p tcp --dport 3000 -j ACCEPT

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

Все работает как надо, только не происходит проброс портов 2106б 7106 и 3000 на локальные машины.

Подскажите в чем проблема.
Заранее спасибо.

• ASP iptables ,beerking, 07:38 , 11-Фев-05
• ASP iptables ,jonatan, 09:52 , 11-Фев-05
  • ASP iptables ,jonatan, 09:53 , 11-Фев-05
• ASP iptables ,jonatan, 10:55 , 11-Фев-05
  • ASP iptables ,beerking, 10:59 , 11-Фев-05
    • ASP iptables ,jonatan, 11:07 , 11-Фев-05

Очень нужна помощь.
Help plz.

Убери NEW из FORWARD и явно разреши соединения с 192.168.0.5:

$IPTABLES -A FORWARD -i $INET_IFACE -d 192.168.0.5 -p tcp -m multiport --dport 2106,7106 -j ACCEPT

и т.д.

>Убери NEW из FORWARD и явно разреши соединения с 192.168.0.5:
Сори. На 192.168.0.5

>$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 2106 -j
>DNAT --to-destination 192.168.0.5:2106
>$IPTABLES -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 2106 -j
>ACCEPT
>
>$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 7106 -j
>DNAT --to-destination 192.168.0.5:7106
>$IPTABLES -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 7106 -j
>ACCEPT
>
>$IPTABLES -t nat -A PREROUTING -p tcp -d $INET_IP --dport 3000 -j
>DNAT --to-destination 192.168.0.119:3000
>$IPTABLES -A FORWARD -i eth0 -d 192.168.0.119 -p tcp --dport 3000 -j
>ACCEPT
Млин, просмотрел. Они у тебя уже есть.

>/usr/local/sbin/iptables  -t  nat  -A  POSTROUTING  -o eth0
>-j  MASQUERADE
>$IPTABLES -A POSTROUTING -d 192.168.0.5 -p tcp -m tcp -m multiport --dports
>2106,7106 -j SNAT --to-source 195.225.0.100
А что вот это?

>>/usr/local/sbin/iptables  -t  nat  -A  POSTROUTING  -o eth0
>>-j  MASQUERADE
>>$IPTABLES -A POSTROUTING -d 192.168.0.5 -p tcp -m tcp -m multiport --dports
>>2106,7106 -j SNAT --to-source 195.225.0.100
>А что вот это?

Сорри,ошибся, удалил, но все равно не фурычит.

В принципе для работы DNAT достаточно следующих правил:

$IPTABLES -t nat -i eth0 -A PREROUTING -p tcp -d $INET_IP --dport 2106 -j DNAT --to-destination 192.168.0.5
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 2106 -j ACCEPT

Попробуй убрать все дополнительные проверки и оставь только эти. Смотри tcpdump на обеих машинах, куда уходят пакеты.