[Sysadmins] Правила на iptables для заворачивания http-трафика на прокси

[Денис Ягофаров]

Всеволод Мартыненко пишет:
> А почему не SNAT? Это же запросы из внутренней сети Вы перенаправляете?
>
> 6 мая 2008 г. 13:38 пользователь Денис Ягофаров <denyago на rambler.ru 
> <mailto:denyago на rambler.ru>> написал:
>
>     Использую
>     правила на роутере:
>     # iptables -t nat -A PREROUTING -i 192.168.0.0/16
>     <http://192.168.0.0/16> -p tcp --dport 80 -j DNAT --to
>     10.3.0.5:3128 <http://10.3.0.5:3128>
>     # iptables -t nat -A PREROUTING -i 192.168.0.0/16
>     <http://192.168.0.0/16> -p tcp --dport 21 -j DNAT --to
>     10.3.0.5:3128 <http://10.3.0.5:3128>
>
>     Что я забыл?
>
хм...
# iptables -t nat -A PREROUTING -i 192.168.0.0/16 -p tcp --dport 21 -j 
SNAT --to 10.3.0.5:3128
iptables: Invalid argument

Согласно http://ru.wikipedia.org/wiki/Netfilter :
*nat* — просматривает только пакеты, создающие новое соединение 
(согласно системе определения состояний). Поддерживает действия /DNAT/, 
/SNAT/, /MASQUERADE/, /REDIRECT/. Содержит цепочки /PREROUTING/, 
/OUTPUT/, и /POSTROUTING

У меня роутер живёт в OVZ контейнере, может ему не хватает модулей? Хотя 
в конфиге ему указано:
IPTABLES="iptable_filter iptable_nat "
/
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : denyago.vcf
Тип     : text/x-vcard
Размер  : 278 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/sysadmins/attachments/20080506/2b1ae093/attachment-0002.vcf>