问几个iptables的简单问题

lostwolf

iptables应该是最后修改数据包信息的，之后就发出去了。
实际测试时端口并没有被iptables指定在范围内吗？

FunFreeBSD

原帖由 lostwolf 于 2009-11-25 12:34 发表
iptables应该是最后修改数据包信息的，之后就发出去了。
实际测试时端口并没有被iptables指定在范围内吗？

正因为这样，才会有疑问。
如果ftp在用20000-50000往y.y.y.y的8000发送数据，是不是NAT就不起作用了？或者反过来，NAT正常，ftp就断了？

-A PREROUTING  -p tcp -d x.x.x.x --dport 80 -j DNAT --to-destination y.y.y.y:8000
-A POSTROUTING -p tcp -d y.y.y.y --dport 8000  -j SNAT --to-source x.x.x.x:20000-50000

实际测试端口在指定的范围内，上次搞错了。

lostwolf

有qq吗？ +个聊聊

FunFreeBSD

A PREROUTING  -p tcp -d x.x.x.x --dport 80 -j DNAT --to-destination y.y.y.y:8000
-A POSTROUTING -p tcp -d y.y.y.y --dport 8000  -j SNAT --to-source x.x.x.x:20000-50000

又想了一下，好像没那么复杂。

任何发往y.y.y.y:8000的数据包都会被设置为x.x.x.x:20000-50000。
就算有程序也用20000-50000往y.y.y.y:8000发数据，也还是要被iptables重新SNAT一下。

FTP的20000-50000是临时启动的监听端口。
TCP是双向的，发送和接收互不影响，FTP也就不受SNAT影响了。

总的来说：src:src-port->dst:dst-port，这四个加到一块唯一，就不互相影响。
如果已经有了一个src:src-port->dst:dst-port，相同的src:src-port->dst:dst-port就不能建立。

以上是我的理解，其实还是很含糊。
不求甚解了，累了，休息。

lostwolf

因为POSTROUTING时只能更改源地址，而不管是FORWARD时还是OUTPUT时对于iptables来说源端口情况都是已知的，如果端口已使用，iptables就不会再次使用这个端口来进行伪装了。