Ubuntu-server+NAT+forward

[Topol2m]

Приветствую. ПЛЗ, подскажите правильно ли настроен NAT и forwarding ?

Буду рад готовому рабочему рецепту. Заранее благодарен.

pS: очень долго копался с разными вариантами, ничего не выходит

Имеется два сервера:
 - Первый eth0 - интернет (82.144.xxx.xxx), eth1 - LAN (192.168.1.1);
 - Второй eth0 - LAN (192.168.1.2)
Нужно перебросить 82.144.xxx.xxx:8000 на 192.168.1.2:8000

Оба сервера на Ubuntu; net.ipv4.ip_forward=1 включен; 8000 порт открыт на обоих серверах.

Дамп iptables:

#iptables-save

# Generated by iptables-save v1.4.10 on Fri Jun 29 21:37:21 2012
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 82.144.xxx.xxx/32 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -d 192.168.1.2/32 -p tcp -m tcp --dport 8000 -j SNAT --to-source 82.144.xxx.xxx
COMMIT
# Completed on Fri Jun 29 21:37:21 2012
# Generated by iptables-save v1.4.10 on Fri Jun 29 21:37:21 2012
*filter
:INPUT DROP [4:160]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:banned_ip - [0:0]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -j banned_ip
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 8000 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 8000 -j ACCEPT
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 32768:65535 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 32768:65535 -j ACCEPT 
-A OUTPUT -o eth0 -p tcp -m tcp --sport 8000 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --sport 8000 -j ACCEPT 
-A fail2ban-ssh -s 190.181.132.70/32 -j DROP
-A fail2ban-ssh -j RETURN
COMMIT
# Completed on Fri Jun 29 21:37:21 2012

[AnrDaemon]

1.
-A PREROUTING -d 82.144.xxx.xxx/32 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
2. OUTPUT DROP - почти всегда ошибка.
3. Пересылка пакетов вообще разрешена?

[Topol2m]

1.
-A PREROUTING -d 82.144.xxx.xxx/32 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
2. OUTPUT DROP - почти всегда ошибка.
3. Пересылка пакетов вообще разрешена?

Да, пересылка разрешена (net.ipv4.ip_forward=1).
Как я понимаю нужно так? Или что-то я путаю?

# Generated by iptables-save v1.4.10 on Fri Jun 29 21:37:21 2012
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8000 -j DNAT --to-destination 192.168.1.2:8000
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -d 192.168.1.2/32 -p tcp -m tcp --dport 8000 -j SNAT --to-source 82.144.xxx.xxx
COMMIT
# Completed on Fri Jun 29 21:37:21 2012
# Generated by iptables-save v1.4.10 on Fri Jun 29 21:37:21 2012
*filter
:INPUT DROP [4:160]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:banned_ip - [0:0]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -j banned_ip
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 8000 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 8000 -j ACCEPT
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 32768:65535 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 32768:65535 -j ACCEPT 
-A OUTPUT -o eth0 -p tcp -m tcp --sport 8000 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --sport 8000 -j ACCEPT 
-A fail2ban-ssh -s 190.181.132.70/32 -j DROP
-A fail2ban-ssh -j RETURN
COMMIT
# Completed on Fri Jun 29 21:37:21 2012

[AnrDaemon]

Да, похоже на правду.
Если не работает, проверьте, что у 192.168.1.2 шлюзом по умолчанию стоит 192.168.1.1.

Ээээ... стоп.
А это что за долбаный бред?

-A POSTROUTING -d 192.168.1.2/32 -p tcp -m tcp --dport 8000 -j SNAT --to-source 82.144.xxx.xxx

Убирайте срочно!