Вопрос. REDIRECT на другой порт в IPTABLES, кроме одного ip адреса назначения.

0

1

Доброго времени суток.

В iptables работает такое правило:

iptables -t nat -A PREROUTING -s 10.0.0.0/16 -p tcp --dport 80 -j REDIRECT --to-port 3127

Для перенаправления трафика на прокси сервер. Возможно ли сделать исключение для одного адреса назначения? Что бы пакеты к одному внешнему адресу шли в обход прокси сервера? Если да, то как это можно реализовать?

Ссылка

←	Помогите плз завести NUT с Powercom

Как связать два ПК по WiFi и раздавать интернет

→

iptables -t nat -A PREROUTING ! -d x.x.x.x -s 10.0.0.0/16 -p tcp --dport 80 -j REDIRECT --to-port 3127

если хочется со списком исключений, то через ipset

vel ★★★★★
(26.06.14 10:49:27 MSK)

а вот решение с ipset, если нужно:

-A PREROUTING -p tcp -m tcp --dport 80 -m set --match-set bypass_proxy_src src -j ACCEPT
-A PREROUTING -p tcp -m tcp --dport 80 -m set --match-set bypass_proxy_dst dst -j ACCEPT
-A PREROUTING -s 172.16.83.0/24 -i eth0.83 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128

ipset create bypass_proxy_src hash:ip
ipset add bypass_proxy_src 172.16.83.251
ipset add bypass_proxy_src 172.16.83.252
ipset add bypass_proxy_src 172.16.83.254

ipset create bypass_proxy_dst hash:ip
ipset add bypass_proxy_dst xxx.xxx.xxx.xxx
ipset add bypass_proxy_dst yyy.yyy.yyy.yyy
ipset add bypass_proxy_dst zzz.zzz.zzz.zzz

BOOBLIK ★★★
(26.06.14 11:28:15 MSK)

Ссылка

А еще можно вставить правило для исключения перед правилом редиректа (заменив 10.x.x.x на нужный адрес):

iptables -t nat -A PREROUTING -s 10.x.x.x -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -s 10.0.0.0/16 -p tcp --dport 80 -j REDIRECT --to-port 3127

Можно таким образом добавить исключения для нескольких адресов.

ddos3 ★
(26.06.14 12:03:43 MSK)

Ответ на: комментарий от ddos3 26.06.14 12:03:43 MSK

Перепутал, там же конечный адрес меняется. Должно быть:

iptables -t nat -A PREROUTING -s 10.0.0.0/16 -d x.x.x.x -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -s 10.0.0.0/16 -p tcp --dport 80 -j REDIRECT --to-port 3127

ddos3 ★
(26.06.14 12:07:01 MSK)