iptables 实现 TCP 服务重定向

eleclogic

如果我有些服务，例如 WWW、MAIL 等，想架在内部网络呢？我们就需要使用 DNAT 技术，将那些传到 NAT 外面接口的某些 socket (可以为任意 port ，但通常是那些固定的服务端口) 的封包，转到里面的机器去了。例如：
假定： 网关采用双网卡，eth0 为外网地址 210.55.66.77, eth1 为内网地址 10.1.1.1, 内部Web服务器为 10.1.1.2 监听端口 8080, 现将外网连接 210.55.66.77:80 定向到 10.1.1.2:8080, 执行下面操作：
这里我们例举将到目标为 210.55.66.77:80 网段的封包进行 DNAT 转换，即将封包目标地址和端口号替换到内部目的地址，这里将会发送到 10.1.1.2:8080

首先允许 IP 转发：
echo 1 > /proc/sys/net/ipv4/ip_forward

设定 DNAT 规则：
iptables -t nat -A PREROUTING –d 210.55.66.77 -p tcp --dport 80 -j DNAT --to 10.1.1.2:8080

上述命令 –d 210.55.66.77 –dport 80 指定本机外网虚拟监听地址和监听端口；
--to 12.246.3.71:80 指向转发地址/端口；

为了使封包能最终返回转发主机，需要设定下列SNAT 源替换规则，该规则将发出端口的源地址替换为转发服务出发地址，以便于封包返回不是试图返回到客户端，而是返回转发服务器，再经由转发规则送回最终客户端：

设定 SNAT 规则：
iptables -t nat -A POSTROUTING –d 10.1.1.2  -p tcp –-dport 8080 -j SNAT --to 10.1.1.1

上述命令假定了 封包由经内网网卡地址 10.1.1.1 代理连接出去，使得目标服务器看上去是由代理主机访问的。同时 –d 10.1.1.2 –p tcp –dport 8080 限定了仅仅处理 输出到 目标服务器的指定端口的包的处理。最终达到服务转发的目的。



本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/14266/showart_245928.html