真是见鬼了，DNAT后外网无法访问内网WEB，必须做SNAT外网才能访问内网WEB，求大侠指教

youthdating

一台NAT主机，两张网卡，一个内网地址INIP，一个外网地址WANIP。
一台WEB服务器，内网地址WEBIP，网关为INIP
内网：192.168.0.0/24

iptable规则：
1、filter表
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0           WANIP              tcp multiport dports 10000,22
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED

Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0          WEBIP               tcp dpt:80
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     all  --  192.168.0.0/24       0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination   

2、nat表
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            WANIP              tcp dpt:80 to:WEBIP:80

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       tcp  --  0.0.0.0/0            WEBIP                 tcp dpt:80 to:INIP        #问题就出在这条规则，如果这条规则删除，外网就访问不了WEB，但加上这条规则，外网就可以访问WEB，但我觉得DNAT就可以让外网访问内网服务器了，为什么要加SNAT呢？
SNAT       all  --  192.168.0.0/24       0.0.0.0/0           to:WANIP

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

marsaber

iptables -P FORWARD ACCEPT
试试。

youthdating

回复 2# marsaber


    也就是FORWARD链为ACCEPT？

chenyx

你的Linux机器不是内网的网关吧,以前有个帖子讨论过类似的问题,如果linux是网关,就不用添加那条snat规则了

marsaber

是的，只是排查一下。

youthdating

回复 5# marsaber


    策略为ACCEPT，还是不行。

youthdating

回复 4# chenyx


    是网关。

chenyx

是网关,那个Snat的规则没有必要啊.
你先把iptables所有规则清空,filter链默认规则全部置成ACCEPT,然后只写一个dnat规则测试下

marsaber

http://bbs.chinaunix.net/thread-3680638-1-1.html

看看这个帖子有没有什么参考价值，

youthdating

回复 8# chenyx


    只写一个DNAT，居然不行。
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            外网卡            tcp dpt:80 to:WEBIP:80

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination