一个用IPTABLES做DNAT的奇怪问题！

秋伊水

我的局域网内有两台服务器：服务器A(192.168.0.111，做为WEB服务器用,windows2000)，服务器B(双网卡，外部ip地址：eth0：0：202.119.107.112，eth0：1：202.119.107.111，内部ip地址：eth1：192.168.0.188，LINUX9.0)是linux防火墙.

我现在在服务器B上面用iptables做了一个端口转发程序，以达到外网用户直接用202.119.107.111就可以访问192.168.0.111服务器。

同时我在服务器B上面还做了一个SNAT（202.119.107.112）专门负责此局域网的上网。

现在问题是这样，非局域网用户（能上网）可以用202.119.107.111访问192.168.0.111服务器，可是在局域网内部的用户（通过服务器BSNAT上网的用户），就不能访问202.119.107.111，不知道是什么原因！

我的iptables代码如下：

iptables -F
iptables -F -t nat
ifconfig eth0:1 202.119.107.111 netmask 255.255.255.0

iptables -I FORWARD -p tcp --dport 80 -j ACCEPT



/sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 202.119.107.112
iptables -t nat -A PREROUTING -p tcp -d 202.119.107.111 --dport 80 -j DNAT --to-destination 192.168.0.111:80

秋伊水

我刚才试了好像加了下面这句就可以了：
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 202.119.107.112


不知道什么原因，望各位指点！

我是马甲我怕谁

FORWARD的默认规则是什么？
如果是ACCEPT，你的iptables -I FORWARD -p tcp --dport 80 -j ACCEPT就没用了
如果默认是DROP，那么你不能进行正确的DNS解析，因为没有开通UDP-53

秋伊水

果然，我把这句（iptables -I FORWARD -p tcp --dport 80 -j ACCEPT）注释掉没有任何影响，那我这个iptables规则如何写算合理呢？

我是马甲我怕谁

看来你的默认规则就是ACCEPT了
如果这样来看，你的策略是不合理的
因为IPTABLES会按照策略表里的策略走，如果都不满足，则会遵循自己的默认策略，而现在你全是ACCEPT

秋伊水

原帖由 "我是马甲我怕谁" 发表：
看来你的默认规则就是ACCEPT了
如果这样来看，你的策略是不合理的
因为IPTABLES会按照策略表里的策略走，如果都不满足，则会遵循自己的默认策略，而现在你全是ACCEPT

那大哥能否帮我修改一下，弄合理一点呢？