rinetd vs iptables

а перфоманс вы пытались мерить? я несколько раз пробовал - какойто ахтунг был по сравнению с iptables

-A PREROUTING -d 194.44.xx.yy -p tcp -m tcp --dport 5900 -j DNAT --to-destination 127.0.0.1
-A PREROUTING -d 194.44.xx.yy -p udp -m udp --dport 5900 -j DNAT --to-destination 127.0.0.1

а ещё можно ipvsadm использовать

> -A PREROUTING -d 194.44.xx.yy -p tcp -m tcp --dport 5900 -j DNAT --to-destination 127.0.0.1

не работает (.
мне нужен как бы редирект на именно локалхост, а не на другой хост (т.б. за натом)

может еще надо SNAT сделать?

покажите iptables-save
чувствую у вас там не всё в порядке

и заодно
ip a
ip r

вообще-то бессмыслица какая-то, зачем запускать vnc на 127.0.0.1 а потом с того же порта сетевого интерфейса прокидывать коннект?
Почему не запустить VNC сразу на этом IP ? Причём тут нат?
или вы не знаете даже где у вас VNC слушает?
покажите еще
netstat -ntlp

>не работает (.

Если я правильно понял задачу,
iptables -t nat -A OUTPUT -d 194.44.xx.yy -p tcp --dport 5900 -j REDIRECT

по ходу с сервисами прибитыми к 127.0.0.1 всё не так просто, твой способ тоже не будет работать если с внешки подключаться.

автор, с какой целью vnc на 127.0.0.1 повесили?
обычно это делают чтобы кнему через ssh тннель подключаться для защиты соединения
ssh -L 5999:localhost:5900 user@194.44.xx.yy

в вашем случае rinetd ничего не защищает такчто можете просто vnc отлепить от 127.0.0.1

с целью изучения kvm
Всем спасибо. Остановился на варианте ssh-туннель

в большей мере, вопрос был чисто спортивный ))) На первый взгляд задача вроде не сложная. Но...

>по ходу с сервисами прибитыми к 127.0.0.1 всё не так просто, твой способ тоже не будет работать если с внешки подключаться.

Можно попробовать rp_filter отключить. Или скажем, SNAT кастануть :)
Интересная задачка.

>Или скажем, SNAT кастануть :)

imho, слишком многоколёсный велосипед получится

>по ходу с сервисами прибитыми к 127.0.0.1 всё не так просто, твой способ тоже не будет работать если с внешки подключаться

тру.

для этой задачи надо сделать dummy-интейфейс и повесить на него внц. а с ним dnat работает как часы. проверено

но ssh вариант конечно лучше всего :)