NAT 內(nèi)網(wǎng)映射問題

ssqhan

外網(wǎng)ＩＰ：210.46.140.233
內(nèi)網(wǎng)ＩＰ：192.168.0.1

CLINET IP: 192.168.0.17
-------------------------------------------------------
目前，內(nèi)網(wǎng)是可以訪問外網(wǎng)的
但我想外網(wǎng)訪問內(nèi)網(wǎng)的www網(wǎng)站
卻行不通

外網(wǎng)是可以ping 通210.46.140.233
在NAT主機(jī)上可以
直接輸入192.168.0.17看到client pc 機(jī)上相應(yīng)的網(wǎng)頁(yè)

在外網(wǎng)IE中輸入　http://210.46.140.233:8000
得到這樣的結(jié)果：
無法顯示網(wǎng)頁(yè)，
你正在查找的網(wǎng)頁(yè)當(dāng)前不可用………………
-----------------------------------------------------
我在/etc/rc.local中配置如下：

1. ptables -F
   
2. iptables -P INPUT ACCEPT
   
3. iptables -P FORWARD ACCEPT
   
4. iptables -P OUTPUT ACCEPT
   
5. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
6. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復(fù)制代碼

=============================================================================
求問題所在？？？

chenyx

在/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE行前面添加1條規(guī)則:
/sbin/iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17 --sport 8000 -j SNAT --to-destination 210.46.140.233:8000
測(cè)試下看看

platinum

回復(fù) 1# ssqhan


你要確保 0.17 使用的默認(rèn)路由是 0.1
同時(shí)你要確保沒有其他 nat 表的規(guī)則干擾（因?yàn)槟愕膱?zhí)行方式有問題，我看到只刪了 filter 表而忽略了 nat 表，且你的規(guī)則是 append 上去的）

marsaber

很簡(jiǎn)單的一個(gè)端口映射啊，iptables規(guī)則貌似沒什么問題。
看了白金老大的回復(fù)，給你寫個(gè)腳本，僅供參考。

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to 210.46.140.233
/sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to 192.168.0.17:80

1、目前，內(nèi)網(wǎng)是可以訪問外網(wǎng)的；
Q：192.168.0.17可以訪問外網(wǎng)嗎？
2、在NAT主機(jī)上可以直接輸入192.168.0.17看到client pc 機(jī)上相應(yīng)的網(wǎng)頁(yè)
Q：看來192.168.0.17的web是正常的。
3、弄個(gè)環(huán)境很干凈很干凈的web服務(wù)器試試。

marsaber

#!/bin/bash

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.25.71
/sbin/iptables -t nat -A PREROUTING -p tcp -d 192.168.25.71 --dport 8000 -j DNAT --to 172.16.0.11:80
/sbin/iptables -t nat -A PREROUTING -p tcp -d 192.168.25.71 --dport 3389 -j DNAT --to 172.16.0.11:3389

代理服務(wù)器：192.168.25.71（外）、172.16.0.1（內(nèi)）
內(nèi)網(wǎng)web服務(wù)器：172.16.0.11/255.255.255.0/GW:172.16.0.1

測(cè)試，一切正常：
通過http://192.168.25.71:8000/可以訪問172.16.0.11的頁(yè)面
遠(yuǎn)程桌面可以連接172.16.0.11的桌面

chenyx

回復(fù) 5# marsaber


    對(duì)比你的和樓主的nat規(guī)則,樓主內(nèi)網(wǎng)nat用的是MASQUERADE,你的是SNAT,應(yīng)該就是這個(gè)的區(qū)別.

marsaber

回復(fù) 6# chenyx

這個(gè)沒關(guān)系的，使用MASQUERADE，跟SNAT的效果差不多，只是效率低一些罷了。

ssqhan

灰常感謝幾位的熱心解答，知道自己?jiǎn)栴}所在了
明天去單位試試。

ssqhan

回復(fù) 2# chenyx


    謝謝，用你的方法，通過！

ssqhan

回復(fù) 5# marsaber
謝謝您的回答：加上
iptables -X
iptables -t nat -F
iptables -t nat -X
ok,就通過了。
如下：

1. 
   
2. ptables -F
   
3. iptables -X
   
4. iptables -t nat -F
   
5. iptables -t nat -X
   
6. iptables -P INPUT ACCEPT
   
7. iptables -P FORWARD ACCEPT
   
8. iptables -P OUTPUT ACCEPT
   
9. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
10. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復(fù)制代碼

-----------------------------------
按二樓的說法加上
iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000
也可以通過
如下：

1. iptables -F
   
2. iptables -P INPUT ACCEPT
   
3. iptables -P FORWARD ACCEPT
   
4. iptables -P OUTPUT ACCEPT
   
5. iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000
   
6. /sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
   
7. /sbin/iptables -t nat -A PREROUTING -p tcp -d 210.46.140.233 --dport 8000 -j DNAT --to-destination 192.168.0.17:80

復(fù)制代碼

-------------------------------------

能不能給我解釋上為什么？？？
我的理解：
１.我的nat 有一些默認(rèn)的內(nèi)容　　不知道對(duì)不對(duì)
對(duì)于這句話必須在加上為什么
iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.17  --sport 8000 -j SNAT --to 210.46.140.233:8000