[mdk-re] IPCHAINS (by Re:вопрос омаршрутизацмаршрутизаци)

[Peter V. Saveliev]

On Tue, 19 Feb 2002 12:04:03 +0300
"Mika" <mika на mcnet.ru> wrote:

> Hi!
> 
> > А почему в цепочку forward а не input
> > forward ведь он для маскарада а у вас, как вы говорили реальные адреса
> >---
> >Maixm mdk на anker.ru
> 
> 
> Для меня вопрос с forward стал загадкой.
> Предположим есть два сетевых интерфейса. К eth0 подключен инет, к eth1-
> локальная сеть.
> На eth0 из инета приходит пакет предназначенный для машины находящейся в
> локальной сети. Я понимаю так, что он поступает в цепочку INPUT, проверяется
> правилами и если все OK, то отправляется в цепочку forward. Или он сразу
> должен попадать в цепочку forward, где проверяется на соответствие правилам
> и отправляется на eth1?

Если ошибаюсь, пусть поправят:

ipchains:

------>eth0		eth1------>
        |    FORWARD     |
      INPUT ---------> OUTPUT
        |                |
        |                |
        +-- YOUR COMP ---+

iptables:
              FORWARD
------>eth0 ----------> eth1------->
        |                |
      INPUT            OUTPUT
        |                |
        +-- YOUR COMP ---+

> Действительно ли forward используется только для маскарадинга? Если у меня в
> одной из сетей используются реальные адреса, и расположен DNS-сервер(что
> исключает использование маскарадинга), а со слов Максима forward
> используется для маскарадинга, то каким образом без forward пакет пришедший
> на eth0 попадет на eth1?

FORWARD может использоваться для любых нужд фильтрации и обработки пакетов,
проходящих _сквозь_ машину. ipchains еще приплетает к этому фильтры ввода-вывода,
iptables не страдает подобным. В частности, FORWARD можно использовать для
маскарада (MASQ, MASQUERADE), NAT (всякие его iptables'овские имплементации).
Или просто чтобы считать траффик ;)

<skip>
Петр.