iptables本地端口轉發(fā)+對指定IP開放指定端口

andrew0319

【問題描述】
一臺web server，http端口80，現(xiàn)要求將從80端口進來的數(shù)據都轉發(fā)到本機9000端口，但是9000不能對外開放，因為我不是很懂web/linux這塊的東西，我理解的對外開放就是IP:9000能打開網頁就算是對外開放了。

找了好幾天關于iptables的資料，還是沒太懂怎么配置。剛看到有個跟我情況類似的帖子：iptables本地端口轉發(fā)問題，請教解決方案----http://www.72891.cn/thread-4175607-1-1.html

照的里面答案寫了一下配置：

iptables -t mangle -I PREROUTING -p tcp --dport 9000 -j DROP
iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 9000

測試下來的情況是網頁能通過80端口正常打開、IP:9000無法打開網頁，但是我還想指定特定IP能訪問web server上的9000端口，就是說IP:9000對特定IP有效。各位大神，誠心請教，拜謝��！

目前的配置是這樣：
[root@i:/etc]#service iptables status
Table: mangle
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:9010
2    DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:9000

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
num  target     prot opt source               destination

Table: nat
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination
1    REDIRECT   tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 redir ports 9000

Chain POSTROUTING (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Table: filter
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

yyu0378

需要分兩步做測試：
1：保證9000端口可以訪問，mangle是不需要的，你寫的那個nat的是對的
2：在保證9000可以訪問后，在INPUT表寫入對IP的限制

andrew0319

謝謝你的回復，那個NAT是用來本地端口轉發(fā)吧，具體的INPUT規(guī)則怎么寫呢，我不太懂PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING的區(qū)別。謝謝！

回復 2# yyu0378


   

andrew0319

自己頂起來