iptables + несколько ipset

iptables -A PREROUTING -m ipset --set list1 src -j ACCEPT (или RETURN)
iptables -A PREROUTING -m ipset --set list2 src -j ACCEPT
iptables -A PREROUTING -m ipset --set list3 src -j ACCEPT
iptables -A PREROUTING -j DNAT --to-destination XXXX

открой для себя «setlist»

Такой вариант не годится. Цель: Роутер. Все что не попало в список снатить на локальный web сервис, остальных пропустить наружу.

setlist - хорошая штука, вот толкьо поддерживается в последних версиях ipset. В debian lenny нет =(.

Такой вариант не годится. Цель: Роутер. Все что не попало в список снатить на локальный web сервис, остальных пропустить наружу.

Ну так и пиши обо всем сразу. :)

iptables -N nat_to_local -t nat
iptables -A nat_to_local -t nat -m ipset --set list1 src -j RETURN # no local nat
iptables -A nat_to_local -t nat -m ipset --set list2 src -j RETURN # no local nat
iptables -A nat_to_local -t nat -m ipset --set list2 src -j RETURN # no local nat
iptables -A nat_to_local -t nat -j DNAT --to-destination local.web.service

iptables -A PREROUTING -t nat -j nat_to_local
iptables -A PREROUTING -t nat -j DNAT --to-destination other.destination.nat

А вообще для выхода на ружу DNAT не нужен 6)

Для остальных маскарад =).

Для остальных маскарад =).

Ну дык это в POSTROUTING делается а DNAT в PREROUTING.

+ чтобы ответ от web-сервера (если он не на роутере) правильно обратно вернулся SNAT тоже нужно сделать :)