问个关于iptables做NAT的问题

Kamatyo

linux主机有两块卡，eth1连内网：192.168.4.0/24，配的地址为192.168.4.1；eth0连外网，配的地址为201.56.23.213。

我想内网做个NAT，以外网地址出去，而且只能上www。

做以下配置：

Iptables -P FORWARD DROP
Iptables -P INPUT DROP
Iptables -P OUTPUT ACCEPT

Iptables -t nat -P PREROUTING ACCEPT
Iptables -t nat -P POSTROUTING ACCEPT
Iptables -t nat -P OUTPUT ACCEPT

Iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -o eth0 -j SNAT -to-source 201.56.23.213
Iptables -A FORWARD -i eth1 -o eth0 -s 192.168.4.0/24 -p tcp --dport 80  -j ACCEPT
Iptables -A INPUT -i eth1 -s 192.168.4.0/24 --dport 80 -j ACCEPT       #一直不太清楚这句是否要配。。

iptables-save


不知这样配置是否可以实现上述功能？

nagaregawa

问题不大，但是要把 ip_forward 打开。

marsaber

建议啊，先跑通(先不管www还是ftp什么的)，再优化、细化、加固。
最好写成脚本，修改起来也方便。

至于你的配置行不行，你给出的信息不够全，还是一边调试一边修改脚本吧。

ouyxia

你这个有问题，出得去回不来哦。

platinum

你这个有问题，出得去回不来哦。
ouyxia 发表于 2010-12-15 10:01

终于有人说到点子上了
加一个 iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 即可

Kamatyo

谢谢，再问一下：
1. 添加Iptables -A FORWARD -i eth0 -o eth1 -d 192.168.4.0/24 -p tcp --sport 80  -j ACCEPT
是否可以接受回包

2. Iptables -A INPUT -i eth1 -s 192.168.4.0/24 --dport 80 -j ACCEPT
这句是否必要？我觉得不用加。。

platinum

不加出不去，何谈如何回？

vermouth

可以考虑根据上下文，允许来回吧。