關(guān)于iptables與nat映射端口的超級(jí)難題

zenglingzhu

網(wǎng)絡(luò)結(jié)構(gòu)：

一臺(tái)對外服務(wù)器，eth0：210.20.20.14，eth1：192.168.1.20
一臺(tái)對內(nèi)服務(wù)器，eth0：192.168.1.21
外服務(wù)器eth1與內(nèi)服務(wù)器eth0直接網(wǎng)線連接

兩層防火墻，設(shè)置了any源到210.20.20.14目標(biāo)，只允許80，和8000-8020通過。

要求：
訪問210.20.20.14:8001，映射到192.168.1.21:8080運(yùn)行。


外服務(wù)器210.20.20.14的iptables如下：

# Generated by iptables-save v1.4.7 on Fri May  6 20:11:32 2011
*nat
REROUTING ACCEPT [0:0]
OSTROUTING ACCEPT [3:225]
:OUTPUT ACCEPT [3:225]
-A PREROUTING -d 210.76.196.134 -p tcp --dport 8001 -j DNAT --to-destination 192.168.1.21:8080
-A POSTROUTING -d 192.168.1.21 -p tcp --dport 8080 -j SNAT --to-source 192.168.1.20
COMMIT
# Completed on Fri May  6 20:11:32 2011
# Generated by iptables-save v1.4.7 on Fri May  6 20:11:32 2011
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [226:26623]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 8019 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 8001 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -d 192.168.1.21/32 -i eth0 -p tcp -m tcp --dport 8080 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -d 192.168.1.21/32 -o eth1 -p tcp -m tcp --dport 8080 -j ACCEPT
-A FORWARD -s 192.168.1.21/32 -i eth1 -p tcp -m tcp --sport 8080 -j ACCEPT
COMMIT
# Completed on Fri May  6 20:11:32 2011


內(nèi)服務(wù)器192.168.1.21的iptable大致如下：

# Generated by iptables-save v1.4.7 on Fri May  6 18:30:09 2011
*filter
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 8080 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Fri May  6 18:30:09 2011


外服務(wù)器本身部署了80，8019兩個(gè)端口，都能從外網(wǎng)成功訪問，8001端口無法訪問，也就是說沒有映射到內(nèi)服務(wù)器上。


請問問題是出在iptables上嗎？
防火墻需不需要修改。

chenyx

-A POSTROUTING -d 192.168.1.21 -p tcp --dport 8080 -j SNAT --to-source 192.168.1.20

這句去掉看看

mengyingchuxian

-A PREROUTING -d 210.76.196.134 -p tcp --dport 8001 -j DNAT --to-destination 192.168.1.21:8080
這個(gè)-d的地址怎么不是你的公網(wǎng)IP？
你的對外服務(wù)器，轉(zhuǎn)發(fā)功能開啟了嗎？
20和21，誰是網(wǎng)關(guān)？在對外服務(wù)器上能ping到21嗎？

sysctl

這個(gè)很簡單, 檢查辦法

1. 將 192.168.1.21 上的規(guī)則先清掉, 連接正常了再加,先將問題簡單化
2. 192.168.1.20上 -A POSTROUTING -d 192.168.1.21 -p tcp --dport 8080 -j SNAT --to-source 192.168.1.20  去掉, 看不出有何特別意義,反而增加負(fù)擔(dān),除非你有特別用處
3. 還要就是樓上說的 -A PREROUTING -d 210.76.196.134 -p tcp --dport 8001 -j DNAT --to-destination 192.168.1.21:8080  地址根本不對嘛