Iptables PREROUTING и INPUT — как «подружить»?

Question

[Иван Гайдамакин]

Добрый вечер!
Собственно такой вопрос.

Как можно настроить перенаправление траффика (PREROUTING) так, что бы сперва он прошел "Обработку" INPUT проверками?

В данный момент использую такое правило:

-A PREROUTING -d 144.76.249.14 -j DNAT --to-destination 10.0.0.34

Ес-но INPUT его не "Задевает", т.к по понятным причинам, PREROUTING идет до INPUT.

Жду ответа, заранее благодарю!

Comments

[EvilMan]

Что-то делаете не так, раз Вам понадобились подобные костыли. Скорее всего похоже на проблему XY. Уточните, чего Вы хотите добиться подобными действиями?

Answer 1

[cjey]

Создайте новую цепочку Filters и добавьте в эту все павила из цепочки INPUT
iptables -N Filters
iptalbes -I Filters -j ACCEPT

В цепочку INPUT добавьте правило перенаправления в цепочку Filters
iptables -I INPUT -j Filters

В цепочку FORWARD добавьте правило перенаправление пакетов в цепочку Filters
iptables -I FORWARD -j Filters

Answer 2

[saygo]

Простите, отчего в том же Prerouting не проверить?
В Input идет тот трафик, который предназначен машине, так что никак.
Здесь и логика в том, что порядок следования и цель трафика не нарушить.

Comments

[Иван Гайдамакин]

Не подскажите, каким образом можно проверять трафик в самом prerouting?

[alz]

Никак нельзя. В таблице filter присутствуют только цепочки INPUT, OUTPUT и FORWARD

[saygo]

@MeGaPk iptables --table nat -I PREROUTING -p tcp --dst $ip --dport $port -j

- не проверка на адрес получателя и порт назначения?

Answer 3

[alz]

Создайте пользовательскую цепочку с проверками и перенаправляйте на нее с цепочек INPUT и FORWARD

Answer 4

[Ilya Evseev]

Как можно настроить перенаправление траффика (PREROUTING) так, что бы сперва он прошел "Обработку" INPUT проверками?

Если коротко, то никак. Ищите в Гугле картинки по запросу "iptables packet flow".
PREROUTING называется так именно потому, что вызывается до routing decision.
INPUT вызывается после того, как routing decision уже пройден.
Раньше в таблице NAT была возможность фильтровать пакеты, теперь её убрали (имхо зря).

Answer 5

[Иван Гайдамакин]

А как тогда можно перенаправить трафик уже после прохождения INPUT`a ?

Comments

[alz]

Сдался вам этот INPUT?

[Ilya Evseev]

никак. nat и mangle выполняются раньше.