iptables -t nat -A POSTROUTING -p tcp --sport 5689 -d 192.168.55.55 -o eth1 -j SNAT --to-source 192.168.49.56
ip ro add 192.168.55.55/32 via 192.168.49.1 dev eth1SAME — в зависимости от цепочки (PREROUTING или POSTROUTING) может работать как DNAT или SNAT. Однако, при указании (в параметре --to-ip) одного или нескольких диапазонов IP-адресов, определяет для каждого нового соединения подставляемый адрес не случайно, а базируясь на IP-адресе клиента. Таким образом, адрес для подмены остается постоянным для одного и того же клиента при повторных соединениях (что не выполняется для обычных DNAT/SNAT). В некоторых случаях это бывает важным.
iptables -A INPUT -p udp --dport 8911 -m limit --limit 500/sec --limit-burst 500 -j ACCEPT
iptables -A INPUT -p udp --dport 8911 -j DROPiptables -A INPUT -p udp --dport 8911 -m hashlimit --hashlimit-name toster --hashlimit-upto 500/sec --hashlimit-mode srcip --hashlimit-srcmask 32 -j ACCEPT
iptables -A INPUT -p udp --dport 8911 -j DROPiptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 172.16.0.0/24 -j MASQUERADEiptables -t nat -A POSTROUTING -p tcp -s 127.0.0.1 -j SNAT --to-source 192.168.1.2owner
This module attempts to match various characteristics of the packet creator, for locally-generated packets. It is only valid in the OUTPUT chain, and even then some packets (such as ICMP ping responses) may have no owner, and hence never match.
--uid-owner userid
Matches if the packet was created by a process with the given effective (numerical) user id.
--gid-owner groupid
Matches if the packet was created by a process with the given effective (numerical) group id.
--pid-owner processid
Matches if the packet was created by a process with the given process id.
--sid-owner sessionid
Matches if the packet was created by a process in the given session group.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j DROP-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -s 1.1.1.1 -p tcp -m tcp --dport 8088 -d 192.168.80.1 -j ACCEPT-A POSTROUTING -p tcp -m tcp -s 1.1.1.1 -d 192.168.80.1 --dport 8088 -j SNAT --to-source 192.168.80.13010.0.0.0/24 via 10.0.0.2 dev tun0
10.0.0.2 dev tun0 proto kernel scope link src 10.0.0.1