关于LINUX NAT的操作

areswry

想要实现将将外部端口5888-6000映射到内部端口9888-10000，目前我的IPTABLES是这样写的：
iptables -t nat -A PREROUTING -p tcp --dport 5888:6000 -i ppp0 -j DNAT --to 192.168.1.20:9888-10000
iptables -t nat -A PREROUTING -p udp --dport 5888:6000 -i ppp0 -j DNAT --to 192.168.1.20:9888-10000
但实测不过。请教要实现将外部端口5888-6000映射到内部端口9888-10000应该如何写iptables


内网数据出去，在LINUX上是进行了下MASQUERADE，没有做SNAT
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

areswry

iptables -t nat -A PREROUTING -p tcp --dport 5999 -i ppp0 -j DNAT --to 192.168.1.20:5999
iptables -t nat -A PREROUTING -p udp --dport 5999 -i ppp0 -j DNAT --to 192.168.1.20:5999
单独一个是没问题。

areswry

或者单独指定--dport 5999:6000也能够映射到内网的5999:6000 但我想将外部的一段端口，映射到内部的另外一段端口，就没法实现了。

chenyx

应该只能一行一行写吧

areswry

测试了下，成功的如下：
成功一：范围只指定了一个端口，顾可以正确地将--dport的端口映射到--to指定的端口上。

1. iptables -t nat -A PREROUTING -p tcp --dport 5999:5999 -i ppp0 -j DNAT --to 192.168.1.20:6999-6999
   
2. iptables -t nat -A PREROUTING -p udp --dport 5999:5999 -i ppp0 -j DNAT --to 192.168.1.20:6999-6999
   
3. iptables -t nat -A PREROUTING -p tcp --dport 6000:6000 -i ppp0 -j DNAT --to 192.168.1.20:7000-7000
   
4. iptables -t nat -A PREROUTING -p udp --dport 6000:6000 -i ppp0 -j DNAT --to 192.168.1.20:7000-7000

复制代码

成功二：(指定一个端口号)

1. iptables -t nat -D PREROUTING -p tcp --dport 5999 -i ppp0 -j DNAT --to 192.168.1.20:6000
   
2. iptables -t nat -D PREROUTING -p udp --dport 5999 -i ppp0 -j DNAT --to 192.168.1.20:6000
   
3. iptables -t nat -D PREROUTING -p tcp --dport 6999 -i ppp0 -j DNAT --to 192.168.1.20:7000
   
4. iptables -t nat -D PREROUTING -p udp --dport 6999 -i ppp0 -j DNAT --to 192.168.1.20:7000

复制代码

成功三：--dport和--to的端口段如果一致，则地址映射会一一对应起来

1. iptables -t nat -A PREROUTING -p tcp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:5999-6999
   
2. iptables -t nat -A PREROUTING -p udp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:5999-6999

复制代码

以下情况：不成功，无论访问ppp0的哪个端口，都只转发到7999，不会转发给其他端口

1. iptables -t nat -D PREROUTING -p tcp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:7999-8999
   
2. iptables -t nat -D PREROUTING -p udp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:7999-8999

复制代码

chenyx

楼主总结的不错,赞一个

areswry

回复 6# chenyx


    可我希望的是，--dport指定一个段，就可以映射到--to指定的段里面去，不知道这个该如何实现。我目前发现，这两个段相同，就会一一映射，如果不同的话，--dport指定的端口号就只能映射到--to指定的第一个端口号上。

areswry

就是希望下面的代码能够实现将5999映射到7999,6000映射到8000......

1. iptables -t nat -D PREROUTING -p tcp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:7999-8999
   
2. iptables -t nat -D PREROUTING -p udp --dport 5999:6999 -i ppp0 -j DNAT --to 192.168.1.20:7999-8999

复制代码

chenyx

楼主请教下白金版主吧

areswry

回复 9# chenyx


    如何请教？发私信么？好像我级别太低，没法发。能否帮我poke他下呢？