Кто сталкивался что iptables -j SNAT не всегда «натит» пакеты?

Question

[Vladislav_vb]

На внешнем интерфейсе проскакивают пакеты, содержащие в поле SRC адреса внутренней сети, такие как 192.168.0.0/24, что весьма неплохо раскрывает содержание внутренней сети. В поле DST указан нормальный адрес куда шлет пакет.
Правила только:

root@Inet:~# iptables -S -t nat
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-A POSTROUTING -o eth2 -j SNAT --to-source XX.YY.ZZ.WW

Показывает не все пакеты, а лишь частично (около 1% примерно, точно не считал).

Comments

[Денис Сечин]

Обнови ядро

[Vladislav_vb]

Денис Сечин: Не помогало.

[Денис Сечин]

Vladislav_vb Ну-у, у вас внешний ip статический?

[Vladislav_vb]

Да, статика

Answer 1

[Mystray]

Через -t nat проходит только первый пакет из каждого соединения, и он должен быть в состоянии коннтрека NEW, все остальные "отначенные" пакеты в рамках соединения "визуально" не проходят через эту таблицу, и не считаются, хоть и натятся.
А если у вас изначально пролетают пакеты в состоянии "INVALID", то они тоже не пройдут через -t nat. Не нравится такое поведение - делайте -I FORWARD -m state --state INVALID -j DROP

Comments

[Vladislav_vb]

Отчасти решило проблему, но иногда всё равно проявляется эта проблема.
Со временем, количество пакетов с адресами внутренней сети увеличилось.