iptables - PREROUTING

vider stille = viderestille

eller er jeg hel forkert på den :-/

Sådan ville jeg forwarde port 4000 tcp

iptables -A INPUT -j ACCEPT -p tcp --dport 4000
iptables -A FORWARD -j ACCEPT -p tcp --dport 4000
iptables -t nat -A PREROUTING -d 80.160.110.160 -p tcp --dport 4000 -j DNAT --to 192.168.0.252

Dette eksempel er kun med tcp.

Ved ikke hvad du laver der, er det meningen du ska forwarde port 4000/tcp og port 6000/udp ?

Jeg har ikke kunne teste det, men jeg ville nok forsøge dette

iptables -t nat -A PREROUTING -i eth1 -d 80.160.110.160 -p tcp --dport 4000 -j REDIRECT --to 192.168.0.252

det er eDonkey2000 jeg vil åben for
jeg har lige nu i min Iptables fil det her ståne (Port og ip er ændert)
iptables -A INPUT -i eth1 -p tcp --dport 4662 -j ACCEPT
iptables -t nat -A PREROUTING -i eth1 -d 80.160.110.160 -p tcp --dport 4000 -j DNAT --to 192.168.0.252

hvis i vil se hel min iptables fil kig her
http://www.diblo.dk/i/

men hvad vil i andbefaler at jeg bruger.
med -i eth1 eller uden og
skal jeg bruge DNAT eller REDIRECT
og hvis jeg bruger bufferzone måde viker det så uden INPUT og FORWARD cmd

der stå såfølig sammen port i begge iptables cmd

med -i eth1 eller uden> jeg ville bruge med

skal jeg bruge DNAT eller REDIRECT>Det ved jeg ikke med sikkerhed, jeg ville teste og se hvad der virker bedst

viker det så uden INPUT og FORWARD cmd> Som jeg ser det uden INDPUT og med FORWARD

jeg har øget pointe så vi du vil have point x86 skrive et svar og i deler

Den regel jeg skrev virker med garanti, bruger den nemlig selv. :)

x86 sin dnat regel virker ok hos meg også. Det er vel "standardmåten" å gjøre det på.

Men INPUT regelen har ingen ting med saken å gjøre. dnat benytter ikke input chain (men forward chain.)

Hvis redirect er testet og den fungerer så fungerer den nok sansynligvis likt med dnat funksjonen, dvs at packets paserer gjennom forward chain og ikke input chain.
(dersom dette mot formodning ikke er tilfellet og redirect gjør at packets paserer gjennom input chain og ikke forward chain, da vil dette i noen grd være en sikkerhetsmessig rissiko.)

Input chain behøver man uansett ikke å åpne. Forward chain må åpnes med mindre den er åpen fra før, dvs at den allerede står til "accept". "Normalt" så skal vel forward chain stå til drop eller tilsvarende slik at den må åpnes for at prerouting skal virke.

Ville tro at redirect og dnat gir den samme funksjonen, dvs at det virker likt. dnat er vel imidlertid den utprøvde og "ordinære" måte å gjøre tingene på.

Ville valgt 2/3 av x86 sin løsning:

iptables -A FORWARD -j ACCEPT -p tcp --dport 4000
iptables -t nat -A PREROUTING -d 80.160.110.160 -p tcp --dport 4000 -j DNAT --to 192.168.0.252

ok takker kigger på det når jeg få tid har milion ting igang :-)