Проброс двух камер лагает

[InkVisitor]

Есть две одинаковые IP-камеры TP-Link TL-SC3430. Лежат в нулевой сети. Через шлюз 1 делается проброс портов на шлюз 2. Шлюз 2 пробрасывает соответствующие порты наружу. В результате для обращения к камерам обращаться на внешний интерфейс шлюза 2 на соответствующий порт. (см. рис.)

На шлюзе 1 порты пробрасываются правилами iptables

Код: [Выделить]

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.0.11:50001
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.0.12:50002

На шлюзе 2

Код: [Выделить]

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.1.2:50001
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.1.2:50002

Правила проброса идентичны, настройки камер - тоже.

Правда при проверке портов nmap'ом

Код: [Выделить]

PORT      STATE    SERVICE
50001/tcp filtered unknown
50002/tcp open     unknown
почему-то один filtered, а другой open с наружки.

А теперь, собственно, вопрос: в большинстве случаев открывается ОДНА, ПЕВАЯ ЗАПРОШЕННАЯ камера. Вторая уже не открывается. Подождав минут пять, снова можно открыть любую ОДНУ ПЕРВУЮ камеру. Иногда (редко) открываются обе.

Помогите, к четвергу должны работать без запинки.

[AnrDaemon]

1. Нафига проброс на первом шлюзе? Заняться больше нечем, время свободное появилось?
2. Полностью правила показывайте.

[InkVisitor]

Шлюз 1 (eth0 - 192.168.1.2; eth1 - 192.168.0.1)

(Нажмите, чтобы показать/скрыть)

#!/bin/bash

start_fw()
{

# Включаем IP форвардинг
echo "1" > /proc/sys/net/ipv4/ip_forward

# Защита от Syn flood атаки
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

IPT="/sbin/iptables"
LO="lo"

# ЗАЩИТА
# Против флуда
$IPT -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
# Против скана портов
$IPT -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Против пинга смерти )))
$IPT -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# Очистка всех правил
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t nat -X
$IPT -t mangle -F
$IPT -t mangle -X

# Политика
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

# безлимитный трафик для lo интерфейса
$IPT -t filter -A INPUT -i $LO -j ACCEPT
$IPT -t filter -A OUTPUT -o $LO -j ACCEPT

################################################################################################
# ВХОД
################################################################################################

# Ping
$IPT -A INPUT -p icmp -j ACCEPT

# DNS
$IPT -A INPUT -p udp --sport 53 -j ACCEPT

# Inet
$IPT -A INPUT -i eth0 -d 192.168.1.2 -j ACCEPT

$IPT -A INPUT -j ACCEPT

#################################################################################################
# PREROUTING
#################################################################################################

$IPT -t nat -A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.0.11:50001
$IPT -t nat -A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.0.12:50002

################################################################################################
# Форвардинг
################################################################################################

# Ping
$IPT -A FORWARD -p icmp -j ACCEPT

$IPT -A FORWARD -i eth1 -o eth0 -j ACCEPT
$IPT -A FORWARD -i eth0 -o eth1 -j ACCEPT

# NetGARRRET in AK
$IPT -A FORWARD -p tcp -i eth0 -s 192.168.1.0/24 -j ACCEPT
$IPT -A FORWARD -p tcp -o eth0 -d 192.168.1.0/24 -j ACCEPT
$IPT -A FORWARD -p tcp -i eth0 -d 192.168.0.0/24 -j ACCEPT
$IPT -A FORWARD -p tcp -o eth0 -s 192.168.0.0/24 -j ACCEPT

$IPT -t filter -A FORWARD -j DROP

##################################################################################################
# POSTROUTING
##################################################################################################

$IPT -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j SNAT --to-source 192.168.1.2
$IPT -t nat -A POSTROUTING -o eth1 -s 192.168.1.0/24 -j SNAT --to-source 192.168.0.1

$IPT -t nat -A POSTROUTING -d 192.168.0.0/24 -j SNAT --to-source 192.168.0.1
$IPT -t nat -A POSTROUTING -d 192.168.1.0/24 -j SNAT --to-source 192.168.1.2

###################################################################################################
# ВЫХОД
###################################################################################################

# Ping
$IPT -A OUTPUT -p icmp -j ACCEPT

# DNS
$IPT -A OUTPUT -p udp --dport 53 -j ACCEPT
$IPT -A OUTPUT -p udp --sport 53 -j ACCEPT

$IPT -A OUTPUT -j DROP

###################################################################################################

Шлюз 2 (eth1 - 192.168.1.1; eth2 - 200.100.1.1)

(Нажмите, чтобы показать/скрыть)

#!/bin/bash

# Включаем IP форвардинг
echo "1" > /proc/sys/net/ipv4/ip_forward

# Защита от Syn flood атаки
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

# the module for full irc connection tracking
/sbin/modprobe ip_conntrack_irc

IPT="/sbin/iptables"
LO="lo"

# ЗАЩИТА
# Против флуда
$IPT -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
# Против скана портов
$IPT -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Против пинга смерти )))
$IPT -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# чистим все правила
$IPT -t filter -F
$IPT -t filter -X
$IPT -t nat -F
$IPT -t nat -X
$IPT -t mangle -F
$IPT -t mangle -X

# безлимитный трафик для lo интерфейса
$IPT -t filter -A INPUT -i $LO -j ACCEPT
$IPT -t filter -A OUTPUT -o $LO -j ACCEPT

# Политика
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

############################################################################################
# ВХОД
############################################################################################

# Ping
$IPT -A INPUT -p icmp -j ACCEPT

# DNS
$IPT -A INPUT -p udp -i eth1 -s 192.168.1.0/24 -d 192.168.1.1 --dport 53 -j ACCEPT

$IPT -A INPUT -i eth1 -j ACCEPT
$IPT -A INPUT -i eth2 -j ACCEPT

$IPT -t filter -A INPUT -j DROP

#################################################################################################
# PREROUTING
#################################################################################################

# IP-cameras
$IPT -t nat -A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.1.2:50001
$IPT -t nat -A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.1.2:50002

$IPT -t nat -A PREROUTING -j ACCEPT

#################################################################################################
# Форвардинг
#################################################################################################

# В инет gate1
$IPT -A FORWARD -i eth1 -o eth2 ! -d 192.168.1.0/24 -s 192.168.1.2 -j ACCEPT
$IPT -A FORWARD -i eth2 ! -s 192.168.1.0/24 -o eth1 -d 192.168.1.2 -j ACCEPT

$IPT -t filter -A FORWARD -j DROP

##################################################################################################
# POSTROUTING
##################################################################################################
echo -n "POSTROUTING..."

$IPT -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth2 -j SNAT --to-source 200.100.1.1

####################################################################################################
# ВЫХОД
####################################################################################################

# Ping
$IPT -A OUTPUT -p icmp -o eth2 -j ACCEPT

$IPT -A OUTPUT -o eth1 -j ACCEPT
$IPT -A OUTPUT -o eth2 -j ACCEPT

$IPT -t filter -A OUTPUT -j DROP

####################################################################################

P.S.

1. Нафига проброс на первом шлюзе?

И то правда... форвардинг нулевой сети в первую, проброс на втором шлюзе с прямого адреса камер на внешку.
А проброс на первом шлюзе ставил, так как там чё-то не клеилось... и так пробовал, и сяк...

[fisher74]

просили правила, а не скрипт их создаюший
sudo iptables-save

[InkVisitor]

Шлюз 1 (eth0 - 192.168.1.2; eth1 - 192.168.0.1)

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.1.1 on Tue Mar 13 19:58:49 2012
*mangle
:PREROUTING ACCEPT [54526098:43214765521]
:INPUT ACCEPT [4032328:626001467]
:FORWARD ACCEPT [49193101:42374343999]
:OUTPUT ACCEPT [3648509:2195399331]
:POSTROUTING ACCEPT [52637459:44557732087]
COMMIT
# Completed on Tue Mar 13 19:58:49 2012
# Generated by iptables-save v1.4.1.1 on Tue Mar 13 19:58:49 2012
*nat
:PREROUTING ACCEPT [2890943:327013520]
:POSTROUTING ACCEPT [1430129:129899789]
:OUTPUT ACCEPT [1442621:130981118]
-A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.0.11:50001
-A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.0.12:50002
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source 192.168.1.2
-A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to-source 192.168.0.1
-A POSTROUTING -d 192.168.0.0/24 -j SNAT --to-source 192.168.0.1
-A POSTROUTING -d 192.168.1.0/24 -j SNAT --to-source 192.168.1.2
COMMIT
# Completed on Tue Mar 13 19:58:49 2012
# Generated by iptables-save v1.4.1.1 on Tue Mar 13 19:58:49 2012
*filter
:INPUT DROP [3:156]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [4:656]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -s 192.168.2.0/24 -d 192.168.2.1/32 -i eth1 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -d 192.168.0.10/32 -i eth1 -j ACCEPT
-A INPUT -d 192.168.1.2/32 -i eth0 -j ACCEPT
-A INPUT -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -i eth0 -p tcp -j ACCEPT
-A FORWARD -d 192.168.1.0/24 -o eth0 -p tcp -j ACCEPT
-A FORWARD -d 192.168.0.0/24 -i eth0 -p tcp -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -o eth0 -p tcp -j ACCEPT
-A FORWARD -j DROP
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -j DROP
COMMIT
# Completed on Tue Mar 13 19:58:49 2012

Шлюз 2 (eth1 - 192.168.1.1; eth2 - 200.100.1.1)

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Tue Mar 13 20:51:33 2012
*mangle
:PREROUTING ACCEPT [23390079:19019066674]
:INPUT ACCEPT [617021:41331408]
:FORWARD ACCEPT [22334765:18934657213]
:OUTPUT ACCEPT [370600:1030823408]
:POSTROUTING ACCEPT [22704047:19965395738]
COMMIT
# Completed on Tue Mar 13 20:51:33 2012
# Generated by iptables-save v1.4.4 on Tue Mar 13 20:51:33 2012
*nat
:PREROUTING ACCEPT [12:788]
:POSTROUTING ACCEPT [10048:563647]
:OUTPUT ACCEPT [113:9896]
-A PREROUTING -p tcp -m tcp --dport 50001 -j DNAT --to-destination 192.168.1.2:50001
-A PREROUTING -p tcp -m tcp --dport 50002 -j DNAT --to-destination 192.168.1.2:50002
-A PREROUTING -j ACCEPT
-A POSTROUTING -s 192.168.1.0/24 -o eth2 -j SNAT --to-source 200.100.1.1
COMMIT
# Completed on Tue Mar 13 20:51:33 2012
# Generated by iptables-save v1.4.4 on Tue Mar 13 20:51:33 2012
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [5:500]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -s 192.168.3.0/24 -d 192.168.3.1/32 -i eth1 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -i eth2 -j ACCEPT
-A INPUT -j DROP
-A FORWARD -s 192.168.1.2/32 ! -d 192.168.1.0/24 -i eth1 -o eth2 -j ACCEPT
-A FORWARD ! -s 192.168.1.0/24 -d 192.168.1.2/32 -i eth2 -o eth1 -j ACCEPT
-A FORWARD -j DROP
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth2 -p icmp -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -o eth2 -j ACCEPT
-A OUTPUT -j DROP
COMMIT
# Completed on Tue Mar 13 20:51:33 2012

[AnrDaemon]

Убирайте DNAT на промежуточном шлюзе. И вообще весь NAT там, это бред. Используйте роутинг.
И ради Бога, используйте conntrack... Вам же проще будет.