NAT 內網映射問題

ssqhan

外網ＩＰ：210.46.140.233
內網ＩＰ：192.168.0.1

CLINET IP: 192.168.0.17
-------------------------------------------------------
目前，內網是可以訪問外網的
但我想外網訪問內網的www網站
卻行不通

外網是可以ping 通210.46.140.233
在NAT主機上可以
直接輸入192.168.0.17看到client pc 機上相應的網頁

在外網IE中輸入　http://210.46.140.233:8000
得到這樣的結果：
無法顯示網頁，
你正在查找的網頁當前不可用………………
-----------------------------------------------------
我在/etc/rc.local中配置如下：

1. ptables -F
   
2. iptables -P INPUT ACCEPT
   
3. iptables -P FORWARD ACCEPT
   
4. iptables -P OUTPUT ACCEPT
   
5. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
6. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復制代碼

=============================================================================
求問題所在？？？

chenyx

在/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE行前面添加1條規(guī)則:
/sbin/iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17 --sport 8000 -j SNAT --to-destination 210.46.140.233:8000
測試下看看

platinum

回復 1# ssqhan


你要確保 0.17 使用的默認路由是 0.1
同時你要確保沒有其他 nat 表的規(guī)則干擾（因為你的執(zhí)行方式有問題，我看到只刪了 filter 表而忽略了 nat 表，且你的規(guī)則是 append 上去的）

marsaber

很簡單的一個端口映射啊，iptables規(guī)則貌似沒什么問題。
看了白金老大的回復，給你寫個腳本，僅供參考。

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to 210.46.140.233
/sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to 192.168.0.17:80

1、目前，內網是可以訪問外網的；
Q：192.168.0.17可以訪問外網嗎？
2、在NAT主機上可以直接輸入192.168.0.17看到client pc 機上相應的網頁
Q：看來192.168.0.17的web是正常的。
3、弄個環(huán)境很干凈很干凈的web服務器試試。

marsaber

#!/bin/bash

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.25.71
/sbin/iptables -t nat -A PREROUTING -p tcp -d 192.168.25.71 --dport 8000 -j DNAT --to 172.16.0.11:80
/sbin/iptables -t nat -A PREROUTING -p tcp -d 192.168.25.71 --dport 3389 -j DNAT --to 172.16.0.11:3389

代理服務器：192.168.25.71（外）、172.16.0.1（內）
內網web服務器：172.16.0.11/255.255.255.0/GW:172.16.0.1

測試，一切正常：
通過http://192.168.25.71:8000/可以訪問172.16.0.11的頁面
遠程桌面可以連接172.16.0.11的桌面

chenyx

回復 5# marsaber


    對比你的和樓主的nat規(guī)則,樓主內網nat用的是MASQUERADE,你的是SNAT,應該就是這個的區(qū)別.

marsaber

回復 6# chenyx

這個沒關系的，使用MASQUERADE，跟SNAT的效果差不多，只是效率低一些罷了。

ssqhan

灰常感謝幾位的熱心解答，知道自己問題所在了
明天去單位試試。

ssqhan

回復 2# chenyx


    謝謝，用你的方法，通過！

ssqhan

回復 5# marsaber
謝謝您的回答：加上
iptables -X
iptables -t nat -F
iptables -t nat -X
ok,就通過了。
如下：

1. 
   
2. ptables -F
   
3. iptables -X
   
4. iptables -t nat -F
   
5. iptables -t nat -X
   
6. iptables -P INPUT ACCEPT
   
7. iptables -P FORWARD ACCEPT
   
8. iptables -P OUTPUT ACCEPT
   
9. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
10. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復制代碼

-----------------------------------
按二樓的說法加上
iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000
也可以通過
如下：

1. iptables -F
   
2. iptables -P INPUT ACCEPT
   
3. iptables -P FORWARD ACCEPT
   
4. iptables -P OUTPUT ACCEPT
   
5. iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000
   
6. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
7. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復制代碼

-------------------------------------

能不能給我解釋上為什么？？？
我的理解：
１.我的nat 有一些默認的內容　　不知道對不對
對于這句話必須在加上為什么
iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000