Blog

Destination Network Address Translation (DNAT)是通过修改包的目标地址和/或端口实现的。如果目标地址是多个，这些地址就会被分离。连接跟踪信息确保包的每一个地址走向同一主机和端口。

选项

--to-destination a1[-a2][:p1-p2]

a1和a2标明了目标地址，p1和p2标明了端口范围。

DNAT target只在nat表的PREROUTHING和OUTPUT链中可有

如：从80端口进来的包传到内部监听的电脑192.168.1.80

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.80

注意：当使用这种DNAT时，将内外DNS区分，才可以使内网的主机使用内部地址访问外网。

来自于

Linux iptables Pocket Reference

connmark Match 是基于packet’s connection mark（包连接标记）

匹配：

–mark value 匹配=value的连接

目标：

–set-mark value 设置标记为整数值
–save-mark 保存包的标记
–restore-mark 恢复包的标记

来自于

Linux iptables Pocket Reference

ethereal      Network protocol analyzer.       http://www.ethereal.com/
Nessus      Remote security scanner.         http://www.nessus.org/intro.html
nmap          Network mapper.                      http://www.insecure.org/nmap/
ntop            Network traffic probe.                http://ntop.ethereal.com/ntop.html
ping            Send ICMP ECHO_REQUEST to specific hosts.
tcpdump    Packet capture and dumping.    http://www-nrg.ee.lbl.gov/
traceroute  Print the route packets take to a specific host.

来自于

Linux iptables Pocket Reference

透明代理是一种截获指定向外连接并转向一台可以达到本来连接目的连接的一种方式，这种技术可以使你只设置代理服务，而不用给内网的每一台电脑设置访问方式。

因为所有访问外部的流量都经过网关，所以所有的向外连接通过端口都是透明的。

如果你在防火墙监听了一个HTTP代理，端口8888，例如Squid，你可以添加这样一条转出规则：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8888

iptables做网关，针对端口级别的做转发，网关ip为{gateway}

-A PREROUTING -d {gateway}/32 -p tcp -m tcp --dport 8989 -j DNAT --to-destination 192.168.1.2:9200 
-A POSTROUTING -s 192.168.1.2/32 -o eth1 -p tcp -j SNAT --to-source {gateway}:8989 

多个端口一对一映射

{gateway}8989 <-> {lan_ip}:9200
{gateway}8990 <-> {lan_ip}:9300

-A PREROUTING  -d {gateway}/32 -p tcp -m tcp --dport 8989 -j DNAT --to-destination {lan_ip}:9200 
-A PREROUTING  -d {gateway}/32 -p tcp -m tcp --dport 8990 -j DNAT --to-destination {lan_ip}:9300 
-A POSTROUTING -s {lan_ip}/32 -o eth1 -p tcp -m tcp --dport 9200 -j SNAT --to-source {gateway}:8989 
-A POSTROUTING -s {lan_ip}/32 -o eth1 -p tcp -m tcp --dport 9300 -j SNAT --to-source {gateway}:8990