Перенаправление трафика

второе правило неверное. замени -s на -d.

ну а еще можно повесить socat на tcp порт, эффект тот же.

x.x.x.x - первый сервер, перенаправляем
y.y.y.y - второй сервер, принимаем
Первый сервер получилось перенаправлять с помощью

iptables -t nat -A PREROUTING --dst x.x.x.x -j DNAT --to-destination y.y.y.y
iptables -t nat -A POSTROUTING -p tcp --dst y.y.y.y -j SNAT --to-source x.x.x.x

или

iptables -t nat -A PREROUTING -p tcp --dst x.x.x.x -j DNAT --to-destination y.y.y.y
iptables -t nat -I POSTROUTING -j MASQUERADE;

Теперь проблема с «прозрачностью». Второй сервер определяет IP -> первого. Как сделать чтобы определял реальный ип пользователей?

Пробовал добавить и заменять флаг -s на -d

iptables -t nat -A POSTROUTING -s ИП_КУДА_ПЕРЕНАПРАВЛЯЮ -j SNAT --to-source ИП_С_КОТОРОГО_ПЕРЕНАПРАВЛЯЮ

Как сделать чтобы определял реальный ип пользователей?

никак. только если на уровне протокола вставлять какой-нить заголовок. Например для HTTP это X-Forwarded-For или X-Real-IP, для SMTP Recieved from:.

Да, есть еще способ - добавить запись в таблицу маршрутизации, чтоб ядро просто перекидывало , без snat/dnat, пакет на следующий сервер. Только надо удостовериться, что вышестоящий шлюз разрешит такие пакеты с левым src. Ну или можно кидать их в туннель между серверами. Опять же, надо на сервере-приемнике пошаманить, чтоб они принимались и ответ шел в правильное место - в туннель обратно.

Можно пример, как добавить заголовок?
Я думаю, лучше будет дописать код приложения. Что-то типо

if(наш_прокси_ип) -> достать реальный ип из заголовка.

Вот, это типичный случай, когда «проблему» надо описывать с начала (перекинуть http трафик), а не с конца (перекинуть IP трафик).

Можно пример, как добавить заголовок?

iptables-ами никак. Повесь на этот порт nginx и сделай проксирование на нужный IP, а на приемнике в апаче поставь mod_rpaf. Примеров в нете куча.

Я думаю, лучше будет дописать код приложения. Что-то типо

Если есть mod_rpaf, то делать ничего не надо в приложении. Апач сам подставит клиентский IP из X-Forwarder-For.

Это не http трафик. Хочу поднять доп хосты «ближе к пользователям» и с них проксировать трафик на главный хост. При этом сохранить их реальные ипы.

так что это за трафик?

В данном случае эмулятор http://svn.code.sf.net/p/rathena/svn/trunk/

Чувак, то что тебе нужно называется OpenVPN.

Но конечно, если хочешь - можешь и дальше онанировать вприсядку в ластах в гамаке (это про iptables и NAT)