[Sysadmins] Практическая реализация SNAT-DNAT

[Dmitriy L. Kruglikov]

On Mon, 10 Apr 2006 22:39:18 +0400
Marat Khayrullin wrote:

> Sergey пишет:
> > Есть гейт с сетевыми: eth1 - Внешний IP его ip 212.x.x.x eth0 - смотрит в 
> > локалку, его ip 172.y.y.y. В локалке находится машина с ip 172.s.s.s и для 
> > нее default gw является 172.y.y.y. 
> > Нужно разрешить заходить из инета на на машину с ip 172.s.s.s на порт 3389 
> 
> iptables -t nat -A PREROUTING -p tcp -i eth1 -d 212.x.x.x --dport 3389
> -j DNAT --to-destination 172.s.s.s
> iptables -A FORWARD -p tcp -i eth1 -o eth0 -d 172.s.s.s --dport 3389 -j
> ACCEPT
> iptables -A FORWARD -p tcp -o eth1 -i eth0 -s 172.s.s.s --sport 3389 -j
> ACCEPT
> 
Для разрешения выхода в Инет пакетов от машины 172.s.s.s еще нужно
добавить:
-A POSTROUTING -s 172.s.s.s -d ! 172.s.s.0/255.255.255.0 -o eth1
-j SNAT --to-source 212.x.x.x #Маскировать исходящие пакеты адресом
внешнего интерфейса.

Так же разрешить сам форвардинг, как таковой:
# echo 1 > /proc/sys/net/ipv4/ip_forward
Или через настройки stsctl.conf ...

Вроде теперь все ...


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov на orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
 XMPP:dkr6 на jabber.ru                   (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Человек искренен в пороке и неискренен в добродетели.
		-- В.В.Розанов