Исходное сообщение
"iptables съел мозг" Отправлено thehangedman, 14-Окт-08 18:18
>Можно вот это место по-подробнее? Почему остальные не должны попадать в nat:POSTROUTING? http://iptables-tutorial.frozentux.net/chunkyhtml/x1237.html Note that, as we have said before, only the first packet in a stream will hit this table. After this, the rest of the packets will automatically have the same action taken on them as the first packet. (Отметим, что как и было сказано выше, только первый пакет потока попадет в эту таблицу. После этого, к остальным пакетам будет автоматически применено то же действие, что и для первого). По этой причине POSTROUTING не рекомендуется использовать для фильтрации. >Да, все работает правильно. Вот только не понятно, почему RST-пакеты не натятся >и в nat:POSTROUTING не попадают.. А вы смотрели tcpdump'ом на внутреннем интерфейсе или на внешнем? Если на внутреннем, то все правильно, но непонятно зачем клиент шлет ни с того ни с сего RST-пакеты (это понятно только если есть попытки соединения извне, но это или dnat, или какой-то хитрый протокол, в любом случае вы бы отловили эти пакеты tcpdump'ом тоже). Ну или клиент сошел с ума. А если на внешнем, то вполне понятно, что вы не видите другие пакеты - ведь они натятся, и вы видите внешний адрес шлюза. Тогда непонятно только, почему не натятся RST-пакеты - ответ на этот вопрос может найтись, если вы приведете часть iptables-save для таблицы nat.