iptables 端口轉(zhuǎn)發(fā)，請(qǐng)賜教

Gallop_hu

環(huán)境是這樣子的:
電腦A ：192.168.1.10
電腦B ：192.168.1.11
電腦C ：192.168.1.12
現(xiàn)在電腦A上有個(gè)服務(wù)，端口是8000， 在電腦B和C上都能使用telnet直接連接，現(xiàn)在我要將電腦B開啟端口轉(zhuǎn)發(fā)，將C的請(qǐng)求轉(zhuǎn)發(fā)到A上去。
我在電腦B上進(jìn)行了一下幾個(gè)配置
------------------------------------------------------------
1、sysctl -w net.ipv4.ip_forward=1    //開啟轉(zhuǎn)發(fā)

2   iptables -I FORWARD -p tcp -s 192.168.1.10 -j ACCEPT   //允許轉(zhuǎn)發(fā)從電腦A過(guò)來(lái)的數(shù)據(jù)
3    iptables -I FORWARD -p tcp -s 192.168.1.12 -j ACCEPT   //允許轉(zhuǎn)發(fā)從電腦C過(guò)來(lái)的數(shù)據(jù)

4   iptables -t nat PREROUTING -p tcp -s 192.168.1.10 -j DNAT --to 192.168.1.12   //將電腦A發(fā)送過(guò)來(lái)的數(shù)據(jù)轉(zhuǎn)發(fā)到電腦C
5   iptables -t nat PREROUTING -p tcp -s 192.168.1.12 -j DNAT --to 192.168.1.10   //將電腦C發(fā)送過(guò)來(lái)的數(shù)據(jù)轉(zhuǎn)發(fā)到電腦A

6   service iptables save      //保存配置
7   service iptables restart   //重啟服務(wù)

-------------------------------------------------------------
關(guān)鍵是我用電腦C（IP:12)去telnet 電腦B（IP:11)的8000端口，根本就不是我預(yù)想的效果，請(qǐng)各位大神賜教，我是不是哪兒理解錯(cuò)了？


PS：當(dāng)我在電腦B上開啟監(jiān)聽8000端口的時(shí)候，如果不配置第4條命令，我在電腦C上是可以telnet上去的。配置上第四條就不行了，說(shuō)明PREROUTING是起了作用的，但苦惱的是最終不是我想要的結(jié)果。

附上系統(tǒng)版本信息：
LSB Version:    :base-4.0-amd64:base-4.0-noarch:core-4.0-amd64:core-4.0-noarch:graphics-4.0-amd64:graphics-4.0-noarch:printing-4.0-amd64:printing-4.0-noarch
Distributor ID: CentOS
Description:    CentOS release 6.5 (Final)
Release:        6.5
Codename:       Final

linux內(nèi)核版本信息：
Linux hn.kd.ny.adsl 2.6.32-431.el6.x86_64 #1 SMP Fri Nov 22 03:15:09 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux

iptables版本信息：
iptables v1.4.7

Gallop_hu

自己頂起來(lái)，希望大牛來(lái)幫助啊，感激不盡

phanx

回復(fù) 1# Gallop_hu


   

Gallop_hu 發(fā)表于 2014-07-11 21:41
1、sysctl -w net.ipv4.ip_forward=1    //開啟轉(zhuǎn)發(fā)

2   iptables -I FORWARD -p tcp -s 192.168.1.10 -j ACCEPT   //允許轉(zhuǎn)發(fā)從電腦A過(guò)來(lái)的數(shù)據(jù)
3    iptables -I FORWARD -p tcp -s 192.168.1.12 -j ACCEPT   //允許轉(zhuǎn)發(fā)從電腦C過(guò)來(lái)的數(shù)據(jù)

4   iptables -t nat PREROUTING -p tcp -s 192.168.1.10 -j DNAT --to 192.168.1.12   //將電腦A發(fā)送過(guò)來(lái)的數(shù)據(jù)轉(zhuǎn)發(fā)到電腦C
5   iptables -t nat PREROUTING -p tcp -s 192.168.1.12 -j DNAT --to 192.168.1.10   //將電腦C發(fā)送過(guò)來(lái)的數(shù)據(jù)轉(zhuǎn)發(fā)到電腦A

6   service iptables save      //保存配置
7   service iptables restart   //重啟服務(wù)

你的做法在于不應(yīng)該做第二條PREROUTING的動(dòng)作，而應(yīng)該做POSTROUTING，把A發(fā)往C的數(shù)據(jù)改為B發(fā)往C。  這樣C回包的時(shí)候就會(huì)回給B。
然后，B的iptables就知道做NAT回包處理了。 B會(huì)將C發(fā)回的數(shù)據(jù)包翻譯成B發(fā)往A的數(shù)據(jù)包。
FORWARD里面，針對(duì)到C的數(shù)據(jù)包允許三個(gè)狀態(tài)，到A的數(shù)據(jù)包就只允許兩個(gè)狀態(tài)。

iptables -A INPUT -m state --state NEW -m tcp -p tcp -s 192.168.1.10 -d 192.168.1.11 --dport 8000 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.10 -d 192.168.1.12 --dport 8000 -j DNAT --to-destination 192.168.1.12:8000
iptables -t nat -A POSTROUTING -p tcp -s 192.168.1.10 -d 192.168.1.12 --dport 8000 -j SNAT --to-source 192.168.1.11


iptables -A FORWARD -p tcp -d 192.168.1.12 --dport 8000 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -p tcp -d 192.168.1.10 --sport 8000 -m state --state ESTABLISHED,RELATED -j ACCEPT


呵呵，巧了，正好Linux版面也有這么個(gè)問(wèn)題，你們是一個(gè)人呢，還是湊巧都遇到這個(gè)問(wèn)題？

http://72891.cn/thread-4145552-1-1.html

Gallop_hu

回復(fù) 3# phanx


不是同一個(gè)人的，非常感謝你的解答，我先試試，看來(lái)我對(duì)這個(gè)的理解還是有偏差，非常感謝

Gallop_hu

回復(fù) 3# phanx


非常感謝，確實(shí)是可以了，再來(lái)說(shuō)說(shuō)我的理解，高興啊。