LINUX.ORG.RU
Форум — Admin  

вопрос по iptables


0

0 

сделал прозрачный прокси  для этого прописал 

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128 

все работает,
но некоторые компы надо пустить через nat в обход прокси

делаю так
iptables -t nat -I PREROUTING 1 -i eth1 --src 192.168.10.7/255.255.255.255 -p tcp --dport 80 -j DNAT --to-destination 172.16.4.1

где 172.16.4.1 - адрес внутреннего интерфейса циски, стоящей между линукс и Инет,

192.168.10.7/255.255.255.255 -адрес того компа, кот. надо пустить минуя прокси 
без прозрачного прокси проброс этого компа был сделан так:

iptables -t nat -A POSTROUTING -s 192.168.10.7 -j MASQUERADE


схема соединения

локальная сеть - линукс - циско - Инет

что прописать в iptables чтобы пустить 192.168.10.7 через nat?
anonymous

самое простое - тоже самое, что и было.

только правило поставь перед заворачиванием трафика на 3128.

fashist
()
Ответ на: комментарий от fashist 

а движение пакета по цепочкам?
ведь вначале он попадет в PREROUTING
а затем в
POSTROUTING,

а в PREROUTING  не работают 
MASQUERADE  и SNAT 
или я ошибаюсь?

anonymous
()
Ответ на: комментарий от tugrik 

а если таких адресов скажем штук 5?
тогда пять раз писать - 
iptables -t nat -A PREROUTING -i eth1 -p tcp -s ! 192.168.10.1 --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -i eth1 -p tcp -s ! 192.168.10.2 --dport 80 -j REDIRECT --to-ports 3128
 и т.д.?

anonymous
()
Ответ на: комментарий от anonymous 

imho только так...
может более опытные товарищи еще чего подскажут.

imho можно токо так чуть автоматизировать:
SPECIAL_LIST="192.168.10.1 192.168.10.2 192.168.10.3"
for ip in $SPECIAL_LIST 
do
   iptables -t nat -A PREROUTING -i eth1 -p tcp -s ! $ip --dport 80 -j REDIRECT --to-ports 3128
done

tugrik ★★
()
Ответ на: комментарий от tugrik 

нет так как я выше написал так не правильно.
вот как можно:
SPECIAL_LIST="192.168.10.1 192.168.10.2 192.168.10.3"
for ip in $SPECIAL_LIST 
do
   iptables -t nat -A PREROUTING -i eth1 -p tcp -s $ip --dport 80 -j ACCEPT
done
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128

tugrik ★★
()
Ответ на: комментарий от tugrik 

к сожалению смогу проверить только вечером, думаю последний вариант должен работать, спасибо

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin