Проброс портов через VPN в локальную сеть

iptables tutorial

Как прописать проброс порта, например 222 на Debian VPS, чтобы при коннекте с интернета на внешний IP-адрес VPS сервера попадать на 222 порт Camera в локальной сети за роутером huawei?

Вам нужно организовать проброс порта на двух машинах - VPS и роутере. Делается это, как верно Выше заметили, с помощью iptables.

На VPS:

iptables -t nat -A PREROUTING -p tcp -i eth0 -d ххх.ххх.ххх.ххх --dport 222 -j DNAT --to 10.152.2.100:222

где xxx.xxx.xxx.xxx - Внешний IP-адрес вашего VPS.

На роутере:

iptables -t nat -A PREROUTING -p tcp -i ppp0 -d 10.12.2.100 --dport 222 -j DNAT --to 10.168.8.20:222

Ну и, разумеется, файрваллы на VPS и роутере должны пропускать соответствующие пакеты.

1. Не совсем верно в части второго правила. Никто не сказал что интерфейс будет ppp0. Да и ТС написал что «на роутере Huawei проброс портов сделан в соответствующей вкладке и работает»
2. Немножко докопаюсь. Двойной nat не обязателен, достаточно с VPS зарулить роут до 10.168.8.20 через тунель. Но учитывая формулировки в запросе ТС даже не стал об этом упоминать.

Никто не сказал что интерфейс будет ppp0

Из контекста вроде как следует, что туннель на роутере всего один ;).

Про проброс портов на роутере проглядел :(.

Двойной nat не обязателен, достаточно с VPS зарулить роут до 10.168.8.20 через тунель.

Да, согласен, этот вариант лучше, спасибо. Правда, тогда придется отказаться от «проброса портов в соответствующей вкладке» ;).

а зачем пробрасывать порт ? Если порт на 10.152.2.100 доступен и настроен на хуйвее - тебе достачно прописать роуты так чтобы 10.152.2.100 был доступен во внутреней сети

Из контекста вроде как следует, что туннель на роутере всего один

Весьма давно (причем настолько давно, что уже и не помню на чем это было и какой тунель поднимался), я столкнулся с проблемой когда при автоматическом назначении имени интерфейс мог оказаться ppp1. Возможно на текущий момент это уже дааавно не актуально, но как говориться «осадочек остался».
С тех пор привык всегда прописывать конкретный интерфейс. :)

я столкнулся с проблемой когда при автоматическом назначении имени интерфейс мог оказаться ppp1.

Интересно, никогда не слышал о таком. Спасибо за информацию.

Сейчас попытался вспомнить, вроде это было как-то связано с глючным падением туннеля (по ifconfig в системе ppp0 небыло) и последующим рестартом. А туннель был или pptp или pppoe

Спасибо большое, про то что двойной NAT не обязателен, я как то не задумывался, маршруты до внутренней сети я естественно прописал :)

Просто до этого с iptables не сталкивался, а по справкам было не очень понятно, как поточнее сделать чтобы потом окончательно не запутаться

Благодаря вам все работает и без двойного NATа!

Вам отдельное спасибо за пример с подробным описанием :) Все работает просто отлично!