Почему пакеты из ipset не попадают в forward?

Question

[Kenny00]

Листинг iptables
iptables -S

-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-N local_services
-A INPUT -i eno1 -m set --match-set white_list src -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.0/8 -j DROP
-A INPUT ! -i eno1 -j local_services
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o eno1 -m set --match-set lan2wan_list src -j ACCEPT
-A FORWARD -i eno1 -m set --match-set white_list src -j ACCEPT
-A FORWARD -i eno1 -m set --match-set nated_list dst -j ACCEPT
-A local_services -p udp -m udp --dport 53 -j ACCEPT
-A local_services -p udp -m udp --dport 67 -j ACCEPT
-A local_services -p udp -m udp --dport 123 -j ACCEPT

iptables -S -t nat

-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-A PREROUTING -i eno1 -p tcp -m tcp --dport 20022 -j DNAT --to-destination 10.254.20.20:22
-A PREROUTING -i eno1 -p tcp -m tcp --dport 25 -j DNAT --to-destination 10.254.20.20:4025
-A PREROUTING -i eno1 -p tcp -m tcp --dport 587 -j DNAT --to-destination 10.254.20.20:587
-A PREROUTING -i eno1 -p tcp -m tcp --dport 465 -j DNAT --to-destination 10.254.20.20:465
-A PREROUTING -i eno1 -p tcp -m tcp --dport 993 -j DNAT --to-destination 10.254.20.20:993
-A PREROUTING -i eno1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.254.20.11:80
-A PREROUTING -i eno1 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.254.20.11:443
-A POSTROUTING -o eno1 -m set --match-set lan2wan_list src -j MASQUERADE

ipset list

Name: white_list
Type: hash:net
Revision: 7
Header: family inet hashsize 1024 maxelem 65536 bucketsize 12 initval 0xb0fdad5c
Size in memory: 504
References: 2
Number of entries: 1
Members:
176.214.101.11

Name: black_list
Type: hash:net
Revision: 7
Header: family inet hashsize 1024 maxelem 65536 bucketsize 12 initval 0x6e7b79c4
Size in memory: 456
References: 0
Number of entries: 0
Members:

Name: lan2wan_list
Type: hash:net
Revision: 7
Header: family inet hashsize 1024 maxelem 65536 bucketsize 12 initval 0x605a3236
Size in memory: 552
References: 2
Number of entries: 2
Members:
10.254.30.0/24
10.254.20.0/24

Name: nated_list
Type: hash:ip,port
Revision: 6
Header: family inet hashsize 1024 maxelem 65536 bucketsize 12 initval 0x3fcfe891
Size in memory: 488
References: 1
Number of entries: 6
Members:
10.254.20.20,tcp:993
10.254.20.20,tcp:587
10.254.20.20,tcp:4025
10.254.20.20,tcp:465
10.254.20.11,tcp:80
10.254.20.11,tcp:443

Проблема в том, что для white list все работает, а для пользователей из интернет, через правило не прошел ни один пакет, конкретно через это

-A FORWARD -i eno1 -m set --match-set nated_list dst -j ACCEPT

Пользователи из интернета, не могут в принципе подключится...
Что я упустил?

По хорошему нужно NAT для белого списка и NAT для интернет пользователей.

Comments

[Kenny00]

Руслан Федосеев посмотрите на досуге пожалуйста, посоветуйте , не смог вас пригласить через "вызвать эксперта"

[nApoBo3]

nat правила отработывают?

[Zerg89]

10.254.20.20:22 если это пк с iptables то это цепочка будет не forward а input

[Kenny00]

Zerg89, мы на preroute меняем input 2022 на 22, да и 10.254.20.20 голый)
Для whitelist все работает, счетчики от пользователей в nat меняются, значит отрабатывает.
Не понимаю почему никак нее реагирует

-A FORWARD -i eno1 -m set --match-set nated_list dst -j ACCEPT

[Kenny00]

nApoBo3, да, все отрабатывают, счётчики крутятся и для белого листа и для интернет, кроме правила

-A FORWARD -i eno1 -m set --match-set nated_list dst -j ACCEPT

[nApoBo3]

Kenny00, укажите протокол в вашем forward правиле( tcp ).

[Kenny00]

nApoBo3,
изменение на -A FORWARD -i eno1 -p tcp -m set --match-set nated_list dst -j ACCEPT
не увенчалось успехом((

[nApoBo3]

Kenny00, попробуйте сделать log на drop forward, посмотрите, какой именно пакет дропается.
ИМХО конечно может быть дело и в каких-то особенностях работы hash:ip,port, например я сталкивался, что без указания протокола прямо в правиле оно не работает с ipset если там указан протокол.