iptables端口映射的论坛无法正确显示访问者的真实ip

ritech

iptables端口映射内网HTTP架设的论坛无法正确现实来访用户的真实ip
显示地址全部是网关机器的内网网卡的ip地址

platinum

DNAT的机器做了反向转发的网关
原理同NAT类似，内网机器出去的时候，是网关的地址
反向也一样，外网机器进来，也是网关的地址

zt371

我现在也遇到了一样的问题啊

zt371

看到你曾给说这种情况是SNAT做的有问题，下面是我iptables配置
-t nat -A PREROUTING -d 59.42.100.2-p tcp -m tcp --dport 9981 -j DNAT --to-destination 192.168.0.2:80
-t nat -A POSTROUTING -d 192.168.0.2 -p tcp -m tcp --dport 80 -j SNAT --to-source 59.42.100.2
-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0 -j MASQUERADE  
目的是从外网59.42.100.2的9981进入，转发到内网的192.168.0.2的80端口。但是192.168.0.2获取的IP是59.42.100.2，而不是客户端的真实IP。不知道应该做怎样的修改，还请不吝指教。

copywu

估计是您在做了DNAT後还做了SNAT的规则导致的，请检查SNAT的规则是否无误

ssffzz1

应该是在内网口也启用了SNAT，规则设置的不好。

原帖由 platinum 于 2004-4-5 15:39 发表于 2楼  
DNAT的机器做了反向转发的网关
原理同NAT类似，内网机器出去的时候，是网关的地址
反向也一样，外网机器进来，也是网关的地址

只做DNAT，进来的包应该是真是的外网IP。

springwind426

原帖由 zt371 于 2007-4-16 10:47 发表于 4楼  
看到你曾给说这种情况是SNAT做的有问题，下面是我iptables配置
-t nat -A PREROUTING -d 59.42.100.2-p tcp -m tcp --dport 9981 -j DNAT --to-destination 192.168.0.2:80
-t nat -A POSTROUTING -d 192.168 ...

-t nat -A PREROUTING -i eth0 -d 59.42.100.2 -p tcp  --dport 9981 -j DNAT --to-destination 192.168.0.2:80

-t nat -A POSTROUTING -o eth0 -s 192.168.0.2 -p tcp --sport 80 -j SNAT --to-source 59.42.100.2:9981


你的问题出在
-t nat -A POSTROUTING -d 192.168.0.2 -p tcp -m tcp --dport 80 -j SNAT --to-source 59.42.100.2
这儿，当数据包通过eth1发送到192.168.0.2的时候，该规则也强制将源地址修改了