請教一個 iptables 的問題

zavakid

大家好，小弟剛開始學(xué)習(xí) iptables，有一個問題請教大家：
我在iptables設(shè)置一下一條規(guī)則：

sudo iptables -t nat -A PREROUTING -p tcp --dport 3500 -j REDIRECT --to-ports 24100

內(nèi)網(wǎng)上其他及其可以正常轉(zhuǎn)發(fā)端口，但是本地機(jī)器卻不能正常轉(zhuǎn)發(fā)端口，請問這是為什么呀？

platinum

本機(jī)數(shù)據(jù)不走 nat 的 PREROUTING 鏈

zavakid

本機(jī)數(shù)據(jù)不走 nat 的 PREROUTING 鏈
platinum 發(fā)表于 2011-01-27 11:24

那請問，有什么辦法可以實現(xiàn)本地機(jī)器的端口轉(zhuǎn)發(fā)？

platinum

沒什么好辦法，即使轉(zhuǎn)換了，數(shù)據(jù)回來的時候也無法做到反轉(zhuǎn)換

zavakid

回復(fù) 4# platinum
突然想到一個辦法，本地機(jī)器去訪問別的IP，然后在 nat 表中的 output 作 DNAT，改回本機(jī)的IP，再改正端口。

iptables -t nat -A OUTPUT -p tcp -d 10.19.14.129 --dport 3500 -j DNAT -to 10.19.14.128:24100

這樣就OK了。
不過這樣做的缺點就是訪問不了 10.19.14.129 的 3500 端口

platinum

但好像有問題
修改數(shù)據(jù)前
10.19.14.128xxx -> 10.19.14.129:3500
修改后
10.19.14.128:yyyy -> 10.19.14.128:24100

回來的時候
10.19.14.128:24100 -> 10.19.14.128:yyyy
本機(jī)就直接處理了，沒有回到 xxxx 上

zavakid

xxxx 為什么會變成 yyyy呢？
那個包的source端口并沒有修改，做了一下實驗，也是沒有問題。
或者是有哪些問題我沒有注意到？

platinum

恩……我覺得最好抓包看一下，因為我記得我沒有實驗成功，很早以前做的了

zavakid

tcpdump 抓包 sudo tcpdump tcp -i 9 port 24100 or 3500 -n
結(jié)果如下：

13:43:33.156126 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [S], seq 761883484, win 5840, options [mss 1460], length 0
13:43:33.156145 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [S.], seq 749759732, ack 761883485, win 32792, options [mss 16396], length 0
13:43:33.156161 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [.], ack 749759733, win 5840, length 0
13:43:33.156208 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [P.], seq 0:548, ack 1, win 5840, length 548
13:43:33.156218 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [.], ack 549, win 33428, length 0
13:43:33.165351 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [P.], seq 1:759, ack 549, win 33428, length 758
13:43:33.165366 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [.], ack 759, win 6822, length 0
13:43:33.165438 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [P.], seq 759:887, ack 549, win 33428, length 128
13:43:33.165447 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [.], ack 887, win 8338, length 0
13:43:33.165506 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [F.], seq 887, ack 549, win 33428, length 0
13:43:33.165936 IP 10.19.14.128.60218 > 10.19.14.128.24100: Flags [F.], seq 548, ack 888, win 8338, length 0
13:43:33.165954 IP 10.19.14.129.3500 > 10.19.14.128.60218: Flags [.], ack 550, win 33428, length 0

看起來抓到的是iptables修改過的包。
對于TCP協(xié)議我不是很懂，但看起來，好像就是 10.19.14.128.24100 和 10.19.14.129.3500 就相當(dāng)于同一個地址了？

platinum

我測試了一下，確實可行，呵呵