iptables синтаксиc

[danethz]

Добрый день, товарищи.

Есть на Ubuntu 10.10 Server вот это:
iptables -V
iptables v1.4.4

И появилась необходимость сделать что-то вроде такого правила:

#iptables -t nat -A POSTROUTING -o $LAN_OUT -s 197.197.197.0/24 ! 197.197.197.56 -j SNAT --to-source 197.197.197.55

Но, к сожалению, по правилам синтаксиса такое правило работать не будет...
В целом же задача такова:

pkts bytes target prot opt in out source destination
0 0 SNAT all -- any eth0 192.168.0.0/24 anywhere tos match 0x04/0xff to:197.197.197.55
0 0 SNAT all -- any eth0 197.197.197.32 anywhere to:197.197.197.56
0 0 SNAT all -- any eth0 !197.197.197.32 anywhere to:197.197.197.55
Чтобы немаркерованные пакеты из 192.168.0.0/24 не уходили никуда.
Чтобы у пакетов из 197.197.197.32 IP отправителя изменялось на 197.197.197.56
А вот у пакетов из 197.197.197.0/24 кроме 197.197.197.32 IP отправителя изменялось на 197.197.197.55

Как это можно реализовать?
З.Ы. Заранее благодарен.

[xeon_greg]

Чтобы у пакетов из 197.197.197.32 IP отправителя изменялось на 197.197.197.56
А вот у пакетов из 197.197.197.0/24 кроме 197.197.197.32 IP отправителя изменялось на 197.197.197.55

Код: [Выделить]

iptables -t nat -A POSTROUTING -o $LAN_OUT -s 197.197.197.32 -j SNAT --to-source 197.197.197.56
iptables -t nat -A POSTROUTING -o $LAN_OUT -s 197.197.197.0/24 -j SNAT --to-source 197.197.197.55трафик от 32  попадает под первое правило, остальной трафик будет идти во второе

[danethz]

После того как пакет из 197.197.197.32 попадает под первое правило, он уходит из цепочки? Если да, то все в порядке...

[fisher74]

Да, выходит.

[danethz]

Благодарю, судя по всему, не достаточно внимательно читал Киселева.
Спасибо, тема закрыта.

[AnrDaemon]

Он не уходит из цепочки, но, поскольку у него изменился адрес отправителя, он уже не поймается вторым правилом.
Чтобы такого не происходило, поставь первым правилом
-t nat -A POSTROUTING -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Тогда все пакеты в уже установленных соединениях будут вылетать из цепочки в первом правиле, а по остальным двум будут ходить только новые.

[alexander.pronin]

По смыслу
- общие в начале
- самые частные правила (исключения) идут в начале чуть позже
- чем более более общие с исключениями, тем позже.

[fisher74]

Не знал что SNAT нетерминальная команда. Записал на корочку.
Я так понимаю остальные команды таблицы nat так же нетерминальные?

[AnrDaemon]

Не знал что SNAT нетерминальная команда. Записал на корочку.
Я так понимаю остальные команды таблицы nat так же нетерминальные?

Терминальные только ACCEPT, DROP и REJECT.
Ну ещё несколько добавляет xtables (типа DELUSION), если не ошибаюсь.

[xeon_greg]

Он не уходит из цепочки, но, поскольку у него изменился адрес отправителя, он уже не поймается вторым правилом.
Чтобы такого не происходило, поставь первым правилом
-t nat -A POSTROUTING -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Тогда все пакеты в уже установленных соединениях будут вылетать из цепочки в первом правиле, а по остальным двум будут ходить только новые.

те этим самым вы хотите сказать что пакет попавший под 1 правило вот этого примера

Код: [Выделить]

iptables -t nat -A POSTROUTING -o $LAN_OUT -s 197.197.197.32 -j SNAT --to-source 197.197.197.56
iptables -t nat -A POSTROUTING -o $LAN_OUT -s 197.197.197.0/24 -j SNAT --to-source 197.197.197.55продолжает движение по этой же цепочке построутинг таблицы нат ? если да, то я вас огорчу после действия снат  пакет покидает цепочку построутинг и вообще iptables и переходит в другой компонет ядра conntrack

[fisher74]

Не могу спорить про терминальность команды SNAT, потому как не изучал этот вопрос, но соглашусь с AnrDaemon, что в Вашем, xeon_greg примере пакет  при срабатывании первого правила, вторым будет игнориться. А значит, кроме нагрузки на ядро это ничего не изменит.
Можно эту теорию и проверить, но ... пока нет острой необходимости в этой инфе.