关于iptables

zhaoyg

局域网用保留ip，两个internet出口，一个连chinanet，一个连cernet，都做nat，缺省走chinanet，一些教育网的资源走cernet
linux的iptables可以做吗？

q1208c

iptables 本身可能不行。

找一下 platinum 版主的一篇精华吧。那里写过。

littleghost-CU

应该是可以的。
我觉得你的问题同我最近研究的iptables三段式防火墙配置有点类似。
iptables在处理nat时，顺序是：nat table的PREROUTING chain-----查询route table进行路由----filter table的FORWARD chain----nat table的POSTROUTING chain-----发送。因此我们可以设置相应的SNAT和DNAT，实现nat的功能。对于设置不同网段的nat，我们可以在数据包的判断条件中加上相应的源地址和目的地址的判断，就可以实现。以下是我的配置：

测试环境：
内网主机(eth0)---(eth0)iptables防火墙(eth1)-----10.0.0.0/8网段
192.168.1.0/24网段              |
                                (eth2)
                                |
                                 -------172.16.0.0/16网段
内网主机：192.168.1.1/24
防火墙--eth0 :192.168.1.254/24
      --eth1 :10.0.0.1/8
      --eth1:0 :10.0.0.2/8 (nat地址)
      --eth2 :172.16.1.1/16
      --eth2:0 :172.16.1.2/16 (nat地址)
10网段主机：10.0.0.5/8
172网段主机：172.16.1.5/16

iptables配置：

#10网段的nat
iptables -t nat -A PREROUTING -p all -s 10.0.0.0/8 -d 10.0.0.2 -j DNAT --to-destination 192.168.1.1
iptables -t nat -A POSTROUTING -p all -s 192.168.1.1 -d 10.0.0.0/8 -j SNAT --to-source 10.0.0.2

#172网段的nat
iptables -t nat -A PREROUTING -p all -s 172.16.0.0/16 -d 172.16.1.2 -j DNAT --to-destination 192.168.1.1
iptables -t nat -A POSTROUTING -p all -s 192.168.1.1 -d 172.16.0.0/16 -j SNAT --to-source 172.16.1.2

其他如果不设置ACL的话，缺省policy均设置为ACCEPT。
以上环境在REDHAT 9 iptables v1.2.7a下测试通过。