我对iptables的一些体会（一）

platinum

原帖由 jswu 于 2006-3-1 16:46 发表


楼住，有必要那么麻烦吗？
iptables -t nat -A POSTROUTING -s IP段 -j SNAT --to IP段
iptables -t nat -A PREROUTING -s IP段 -j DNAT --to IP段
就能实现透明代理，小弟入门愚见，请斑竹指教！

如果你的 filter 表的 FORWARD 链是 DROP 怎么办？
如果你在 nat 表的 PREROUTING 链里已经有了 ACCEPT 怎么办？
你是否都想过呢？

另外，iptables -t nat -A POSTROUTING -s IP段 -j SNAT --to IP段 这个你写错了，SNAT 不支持“--to IP段”的概念

jswu

手误！

iptables -t nat POSTROUTING -s IP段 -j SNAT --to public ip
iptables -t nat PREROUTING -s IP：port -j DNAT --to IPORT
我一般都是用POSTROUTING 来做snat
用PREROUTING 来做端口映射，FORWARD 默认的ACCEPT，我在FORWARD 当中也加入了好几条RULE并DROP掉，INPUT默认DROP，只开起ssh，OUTPUT默认ACCEPT，没有设置任何RULE。
你看这样算透明代理吗？

platinum

这是 SNAT 和 DNAT ，和“代理”无关，使用 squid 的话算是代理，使用其他 proxy 也算代理
代理是 7 层的，NAT 顶多算 4 层的

jswu

一语惊醒梦中了，我连这么基本的都忽略了，谢谢platinum

platinum

squid 就是“代理”
在 IE 里设置使用的这种东西就是“代理”
可以参考一些 iptables 结合 squid 实现“透明代理”的例子