看板Linux
標 題Re: 求救 RHEL5.1 AS 之 PREROUTING 遇到困難.
發信站HiNetNews (Thu Jul 31 16:00:03 2008)
轉信站ptt!ctu-reader!ctu-gate!news.nctu!news.ntu!feeder.seed.net.tw!netnews!
感謝小州....
這是簡化版iptables-save,
說明:
Server 有兩片網卡,
外網eth1 IP為61.250.251.165
內網eth0 IP為192.168.147.6
PREROUTING 的主要功能將eth1 的相關port 轉到eth0 3389 port
EX:
將61.250.251.165 port 3389 轉到192.168.147.4:3389
將61.250.251.165 port 3390 轉到192.168.147.5:3389
......
將61.250.251.165 port 3900 轉到192.168.147.11:3389
麻煩您了
[root@eip ~]# iptables-save
# Generated by iptables-save v1.3.5 on Thu Jul 31 23:40:43 2008
*nat
:PREROUTING ACCEPT [3:234]
:POSTROUTING ACCEPT [1:66]
:OUTPUT ACCEPT [1:66]
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 3389 -j DNAT
--to-destination 192.168.147.4:3389
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 3390 -j DNAT
--to-destination 192.168.147.5:3389
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 3391 -j DNAT
--to-destination 192.168.147.7:3389
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 3392 -j DNAT
--to-destination 192.168.147.9:3389
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 3900 -j DNAT
--to-destination 192.168.147.11:3389
-A PREROUTING -d 61.250.251.165 -p tcp -m tcp --dport 9999 -j DNAT
--to-destination 192.168.146.238:3389
-A POSTROUTING -s 192.168.147.21 -p tcp -m tcp --dport 21 -j
MASQUERADE
-A POSTROUTING -s 192.168.147.21 -p tcp -m tcp --dport 1024:65535 -j
MASQUERADE
-A POSTROUTING -d 134.180.14.120 -j MASQUERADE
-A POSTROUTING -s 192.168.146.238 -j MASQUERADE
-A POSTROUTING -s 192.168.146.251 -j MASQUERADE
-A POSTROUTING -s 192.168.147.15 -j MASQUERADE
-A POSTROUTING -s 192.168.147.2 -j MASQUERADE
-A POSTROUTING -s 192.168.147.249 -j MASQUERADE
-A POSTROUTING -s 192.168.147.252 -j MASQUERADE
-A POSTROUTING -d 207.46.248.16 -p tcp -m tcp --dport 119 -j
MASQUERADE
-A POSTROUTING -d 202.133.252.12 -p tcp -m tcp --dport 23 -j LOG
-A POSTROUTING -d 202.133.252.12 -p tcp -m tcp --dport 23 -j
MASQUERADE
-A POSTROUTING -d 64.60.37.226 -j MASQUERADE
-A POSTROUTING -d 210.145.134.86 -p tcp -j MASQUERADE
-A POSTROUTING -d 202.145.134.86 -p tcp -j MASQUERADE
-A POSTROUTING -d 210.80.77.86 -p tcp -j MASQUERADE
-A POSTROUTING -d 61.152.217.222 -j MASQUERADE
-A POSTROUTING -d 203.75.58.3 -j MASQUERADE
-A POSTROUTING -d 59.120.128.140 -j MASQUERADE
-A POSTROUTING -d 60.249.163.180 -j MASQUERADE
-A POSTROUTING -d 209.172.70.69 -j MASQUERADE
-A POSTROUTING -d 210.80.77.29 -p tcp -m tcp --dport 80 -j MASQUERADE
-A POSTROUTING -d 91.121.15.150 -p tcp -m tcp --dport 80 -j MASQUERADE
-A POSTROUTING -d 210.63.97.57 -p tcp -j MASQUERADE
-A POSTROUTING -d 210.63.97.158 -p tcp -j MASQUERADE
-A POSTROUTING -d 210.63.97.159 -p tcp -j MASQUERADE
-A POSTROUTING -d 210.63.97.160 -p tcp -j MASQUERADE
-A POSTROUTING -d 210.68.22.22 -j MASQUERADE
-A POSTROUTING -d 220.128.79.136 -p tcp -j MASQUERADE
COMMIT
# Completed on Thu Jul 31 23:40:43 2008
# Generated by iptables-save v1.3.5 on Thu Jul 31 23:40:43 2008
*filter
:INPUT ACCEPT [43:2394]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [68:8517]
:icmpfilter - [0:0]
-A INPUT -s 60.251.221.178 -i eth1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 3900 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 8080 -j ACCEPT
-A INPUT -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -m state --state INVALID,NEW -j DROP
-A INPUT -i eth1 -j DROP
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 8 -j DROP
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 3/4 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 14 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 16 -j ACCEPT
-A icmpfilter -i eth1 -p icmp -m icmp --icmp-type 18 -j ACCEPT
COMMIT
# Completed on Thu Jul 31 23:40:43 2008
On 31 Jul 2008 06:47:32 GMT,
[email protected] (小州) wrote:
>※ 引述《
[email protected] (世界是平的)》之銘言：
>> iptables-save全部在此,非常感謝
>
> 你的 rule 沒看到 192.168.147.11 這個目的的設定？所以請問
> 你目前需求是.. ?
>
> 另外請問你測試 DNAT 是在該網路內，還是不同網段外？若你要
> 測試務必記得要在非 nat 網路內測試。
>
> 還有你的 rule 太雜了，建議你要測試需要把規則簡化比較好查
> 問題點。
>
>--
>-- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --
>
> 現代人普遍的現象: 「小學而大遺」、「捨本而逐末」
> 「以偏而概全」、「因噎而廢食」
>-- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- -- --