Chinaunix

标题: iptables addr转换 [打印本页]

作者: yxdyw 时间: 2005-06-05 15:45
标题: iptables addr转换
我做了一个这样的实验，请各位帮我验证一下：
三台电脑，A：10.1.5.236(网关) ，B:10.1.5.3，C:10.1.5.89，从C 80端口出去的包经A转发到C，我在C电脑上面输入:http://10.1.5.236，没有什么反应，规则我是这样写的：
iptables -t nat -A PREROUTING -p tcp -d 10.1.5.236 --dport 80 -j DNAT --to-destination 10.1.5.3:80
我是这样认为的，由于在同一个网段，所以没有做源地址转换，不知道思路是否正确？请高手指点。

作者: wenzk 时间: 2005-06-05 21:39
标题: iptables addr转换
需要做源地址转换，否则一个段内是没有办法工作的
你的主机发送出去的包是：
目的地址：10.1.5.236:80 源地址：10.1.5.89:随机端口1

经过A主机后这个数据包被地址转换成：
目的地址：10.1.5.3:80 源地址：10.1.5.89:随机端口1

B主机收到数据包后就响应该报文：
目的地址: 10.1.5.89:随机端口1 源地址：10.1.5.3:80

由于B主机发现目的主机和自己在同一网段内，所以直接使用ARP请求10.1.5.89的MAC地址，然后将报文发送给C主机，C主机收到该报文后发现源地址不是自己原来请求的地址，所以丢弃该报文

所以增加
iptables -t nat -A POSTROUTING -p tcp -s 10.1.5.0/24 --dport 80 -j SNAT --to-source 10.5.1.236
就应该OK了

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)