Как пробросить пакеты на одном интерфейсе через iptables?

Question

[Олег]

Насколько корректны ниже представленные правила?

iptables -t nat -A PREROUTING -p udp -d 192.168.243.131 --dport 2502 -j DNAT --to-destination 31.130.115.27
iptables -A FORWARD -i eth0 -p udp -d 31.130.115.27 --dport 2502 -j ACCEPT

где
192.168.243.131 - адрес машины с iptables (куда приходят пакеты, и откуда должны уйти)
31.130.115.27 - внешний адрес машины на которую я хочу отправить пакеты

Видимо не очень, ибо не работает )

Comments

[Дмитрий]

а вообще форвардинг включен?

cat /proc/sys/net/ipv4/ip_forward
должно быть 1.

Answer 1

[hint000]

Недостаточно данных, чтобы дать точный ответ. Но можно угадать. :)
Вариант (1) - несимметричный маршрут:
Отправляете пакеты с машины, имеющей адрес 192.168.243.x.
Пакеты имеют адрес источника 192.168.243.x.
31.130.115.27 отправляет ответ на 192.168.243.x.
192.168.243.x неожиданно получает ответ от 31.130.115.27, хотя ждал ответ от 192.168.243.131; Неожиданный ответ выбрасывается в мусорку.
Вариант (2) - не прописана маршрутизация:
31.130.115.27 вообще видит сеть 192.168.243.0/24?

В целом правила корректные, но чего-то ещё не хватает. Нужны подробности, чтобы понять, чего именно не хватает.

Comments

[Олег]

Похоже так и есть. Обратный пакет просто летит в мусорку. Но как исправить, скилла не хватает.
Задача стоит сделать из убунту машины обычный проброс (в обе стороны) всего UDP, что приходит на нее, на другой адрес.
Дано:
Адрес машины с запросом - 192.168.0.13
Адрес LINUX роутера - 192.168.243.131
Адрес назначения: 31.130.115.27
Порт: UDP

tcpdump: listening on any, link-type LINUX_SLL (Linux cooked v1), capture size 262144 bytes
15:40:02.830302 IP (tos 0x0, ttl 64, id 23610, offset 0, flags [none], proto UDP (17), length 62)
    192.168.243.1.2404 > 192.168.243.132.2402: [udp sum ok] UDP, length 34
15:40:02.830410 IP (tos 0x0, ttl 63, id 23610, offset 0, flags [none], proto UDP (17), length 62)
    192.168.243.1.2404 > 31.130.115.27.2402: [udp sum ok] UDP, length 34
15:40:02.830449 IP (tos 0x0, ttl 64, id 23611, offset 0, flags [none], proto UDP (17), length 62)
    192.168.243.1.2404 > 31.130.115.27.2402: [udp sum ok] UDP, length 34
15:40:02.830456 IP (tos 0x0, ttl 63, id 23611, offset 0, flags [none], proto UDP (17), length 62)

[hint000]

Олег, правильно ответил Дмитрий, надо добавить SNAT или MASQUERADE. Например, так:

iptables -t nat -A POSTROUTING -p udp -d 31.130.115.27 --dport 2502 -j MASQUERADE

[Олег]

hint000, Вы волшебник!
ОГРОМНОЕ СПАСИБО!
РАБОТАЕТ!

Answer 2

[Дмитрий]

потому что еще надо SNAT добавлять, чтобы сервер получатель тоже обманывать.

Comments

[ComodoHacker]

Зачем?

Answer 3

[ComodoHacker]

Смотрите по счетчикам (iptables list -v), проходят ли пакеты через ваши правила.