iptables

energywu

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F LOCAL_TETHER_COUNTERS_CHAIN
iptables -X LOCAL_TETHER_COUNTERS_CHAIN
iptables -N LOCAL_TETHER_COUNTERS_CHAIN
iptables -t nat -A POSTROUTING -o extIface -j MASQUERADE   这一句做SNAT，包可以出去，但是回来的包的ip头里的目的地址还是extIface的地址，那怎么把包转到局域网？？？
iptables -A FORWARD -i extIface -o intIface -m state --state ESTABLISHED,RELATED -g  LOCAL_TETHER_COUNTERS_CHAIN
iptables -A FORWARD -i intIface -o extIface -m state --state INVALID -j DROP
iptables -A FORWARD -i intIface -o extIface -m state --state -g LOCAL_TETHER_COUNTERS_CHAIN
iptables -A LOCAL_TETHER_COUNTERS_CHAIN -i intIface -o extIface -j RETURN
iptables -A LOCAL_TETHER_COUNTERS_CHAIN -i extIface -o intIface -j RETURN


一台Linux机器，两个网卡intIface和extIface, intIface连接局域网，extIface连公网

谢谢大侠 讲解，本人菜鸟。


谢谢

Godbach

回复 1# energywu

出去的报文做了 SNAT，那么回来的报文就会直接做 DNAT 转换回来，这个不需要显式配置。


   

energywu

回复 2# Godbach


    那是根据什么规则做DNAT？
因为局域网里可能有多个ip?

非常感谢

Godbach

energywu 发表于 2015-09-28 10:18
回复 2# Godbach

根据你 SNAT 的逻辑，做一个对称的反向修改就行了。这里面是有连接表的。

energywu

回复 4# Godbach


    大侠能不能大概讲解一下？
每条规则都有您说的连接表？那根据什么来区分每个连接？
非常感谢

Godbach

回复 5# energywu

根据报文的五元组，协议/SrcIP/Sport/DstIP/Dport。

你了解一下 netfilter 的 conntrack 吧