Какой принцип цепочки POSTROUTE ?

Question

[csergey]

Для того что бы пробросить порты в интернетах пишут что достаточно внести 2 правила
iptables -t nat -I PREROUTING --dst 95.17.248.226 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.8.0.2:80

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 95.17.248.226
Как пример. То что prerouting пробрасывает пакеты понятно. но какой смысле цепочки POSTROUTING?

Answer 1

[Игорь]

Postrouting в основном используется для маскарадинга. То-есть когда у Вас есть шлюз и за ним "серая" сеть. В данному случае, чтобы машины из "серой" сети могли ходить в интернет необходим masquerade на шлюзе, котоый будет подменять "серый" source ip в пакете на белый адрес шлюза или жестко прописанный -j SNAT --to-source.

В случае Вашего правила всё, что будет уходить с eth0 шлюза будет иметь source ip в пакете 95.17.248.226. То-есть происходит подмена 10.8.0.2 на 95.17.248.226, если запрос уходит с 95.17.248.226. И пакет уходит с "белым" ip шлюза.

Comments

[ERiC]

уточню, что в таком виде как указано в вопросе меняться на 95.17.248.226 будет абсолютно любой исходящий, это может быть и как 10.8.0.2, так и любой другой адрес в локальной сети пакеты которого маршрутизатор не настроен отбрасывать.

[Игорь]

Все верно, получается более точно указанный masquerade. Обычно используется, если на шлюзе есть несколько IP-адресов с которых выпускается NAT-иный трафик внутренней сети.

Answer 2

[Валентин]

Чтобы пакеты уходили на сервер с адресом роутера (95.17.248.226), а не с 10.8.0.2. Логично же?

Comments

[csergey]

а почему использовать для этого postrouting а не prerouting нужно?

[csergey]

Например пакет приходит на маршрутизатор в цепочке prerouting он меняеть айпи назначение на локальный, потом идёт дальше по цепочке.. И обьясните как он дальше двигается

[Валентин]

Открываем картинку с opennet-а про цепочки iptables.

Видим, что если ты сделаешь это в prerouting, то routing descision (а еще filter и mangle) будет производиться с уже измененным пакетом. Вы уже не отфильтруете пакеты с внутренних железок, так как адрес исходный будет уже другой.

[ERiC]

вот пара схем, из которых можно понять как оно ходит
upload.wikimedia.org/wikipedia/commons/a/ad/Netfil...

upload.wikimedia.org/wikipedia/ru/f/f4/Iptables-tr...

[inet] -> [gateway] -> nat prerouting -> forward -> [lan].
[lan] -> [gw] -> nat postrouting -> [inet]
цепочки в которых действий нет опустил.