IPTABLES закрыт порт

[shusha]

Всем привет. Есть проблемма и не знаю как побороть.
Есть сервер, на него приходит 2 провайдера, выходит локалка.
1 провайдер для инета в локалку и доступа к серверу, второй провайдер пробрасывается на внутренний сервер. Настроены iptables и маршрутизация. Новот проблемма, почта c почтового сервера не уходит, порт закрыт. Как посмотреть где затык? Может кто поможет проверить правила?

[fisher74]

Код: [Выделить]

sudo iptables-saveВ студию
Ну и вкратце как построена сеть (какой куда интерфейс смотрит, например)

[shusha]

(Нажмите, чтобы показать/скрыть)

iptables-save
# Generated by iptables-save v1.4.2 on Wed Aug 10 12:46:16 2011
*nat
:PREROUTING ACCEPT [25812:1803853]
:POSTROUTING ACCEPT [2258:156873]
:OUTPUT ACCEPT [2261:157053]
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d a.a.a.a/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 143 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 587 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 993 -j DNAT --to-destination 192.168.0.150
-A PREROUTING -d b.b.b.b/32 -p tcp -m tcp --dport 995 -j DNAT --to-destination 192.168.0.150
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 21 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source a.a.a.a
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 10000 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 443 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 22 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 25 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 143 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 110 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 587 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 993 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 995 -j SNAT --to-source b.b.b.b
-A POSTROUTING -m mark --mark 0xa -j MASQUERADE
-A POSTROUTING -m mark --mark 0xb -j MASQUERADE
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d a.a.a.a/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 143 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 587 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 993 -j DNAT --to-destination 192.168.0.150
-A OUTPUT -d b.b.b.b/32 -p tcp -m tcp --dport 995 -j DNAT --to-destination 192.168.0.150
COMMIT
# Completed on Wed Aug 10 12:46:16 2011
# Generated by iptables-save v1.4.2 on Wed Aug 10 12:46:16 2011
*mangle
:PREROUTING ACCEPT [93015:19457896]
:INPUT ACCEPT [26988:3654160]
:FORWARD ACCEPT [65663:15776672]
:OUTPUT ACCEPT [14780:9325159]
:POSTROUTING ACCEPT [80424:25094251]
-A PREROUTING -s 192.168.0.0/24 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xa/0xffffffff
-A PREROUTING -s 192.168.1.0/24 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xb/0xffffffff
COMMIT
# Completed on Wed Aug 10 12:46:16 2011
# Generated by iptables-save v1.4.2 on Wed Aug 10 12:46:16 2011
*filter
:INPUT DROP [11504:760377]
:FORWARD DROP [12:7300]
:OUTPUT ACCEPT [1602:104536]
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 5900 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 10000 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A INPUT -s 192.168.0.0/16 -i vmbr0 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 21 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth0 -p tcp -m tcp --dport 53 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 53 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 110 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 143 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 587 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 993 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 995 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -d 192.168.0.150/32 -i eth1 -p tcp -m tcp --dport 10000 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A FORWARD -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -m state --state INVALID -j DROP
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
-A OUTPUT -d 192.168.0.0/16 -o vmbr0 -m state --state NEW -j ACCEPT
COMMIT
# Completed on Wed Aug 10 12:46:16 2011

[shusha]

Поднимается все по скрипту

(Нажмите, чтобы показать/скрыть)

#!/bin/bash

IP_LOCAL="192.168.0.1" # адрес нашего маршрутизатора в локальной сети.
IP_INET1="a.a.a.a" # адрес нашего маршрутизатора в сети первого провайдера.
IP_INET2="b.b.b.b" # адрес нашего марщрутизатора в сети второго провайдера.

IF_LOCAL="vmbr0" # имя интерфейса на локальную сеть
IF_INET1="eth0" # имя интерфейса на первого провайдера.
IF_INET2="eth1" # имя интерфейса на второго провайдера.

NET_LOCAL="192.168.0.0/16" # локальная сеть.
NET_INET1="a.a.a.0/24" # адрес сети в которой гейт нашего первого провайдера.
NET_INET2="b.b.b.0/24" # адрес сети в которой гейт нашего второго провайдера.
NET_SUB1="192.168.0.0/24" # подсеть пользователей на первого провайдера
NET_SUB2="192.168.1.0/24" # подсеть пользователей на второго провайдера

GW_INET1="a.a.a.1" # гейт первого провайдера.
GW_INET2="b.b.b.1" # гейт второго провайдера.

IPT="/sbin/iptables"

for interface in /proc/sys/net/ipv4/conf/*/rp_filter; do
   echo "0" > ${interface}
done
        ip route flush table T1         #обнуляем первую таблицу маршрутов
        ip route flush table T2         #обнуляем вторую таблицу маршрутов

        ip route add $NET_INET1 dev $IF_INET1 src $IP_INET1 table T1   #закидываем в первую таблицу инфу о сети первого провайдера
        ip route add $NET_LOCAL dev $IF_LOCAL table T1         #закидываем в первую таблицу инфу о том, что у нас существует локальная сеть
        ip route add $NET_INET2 dev $IF_INET2 table T1         #закидываем в первую таблицу инфу о том, что у нас существует еще одна сеть
        ip route add 127.0.0.0/8 dev lo   table T1         #закидываем в первую таблицу инфу о существовании лупбека
        ip route add default via $GW_INET1 table T1         #закидываем в первую таблицу дефолтный гейт на первого провайдера

        ip route add $NET_INET2 dev $IF_INET2 src $IP_INET2 table T2   #закидываем во вторую таблицу инфу о сети второго провайдера   
        ip route add $NET_LOCAL dev $IF_LOCAL table T2         #закидываем во вторую таблицу инфу о том, что у нас существует локальная сеть.
        ip route add $NET_INET1 dev $IF_INET1 table T2         #закидываем во вторую таблицу инфу о том, что у нас существует еще одна сеть.
        ip route add 127.0.0.0/8 dev lo   table T2         #закидываем во вторую таблицу инфу о существовании лупбека.
        ip route add default via $GW_INET2 table T2         #закидываем во вторую таблицу дефолтный гейт на второго провайдера

        ip route add $NET_INET1 dev $IF_INET1 src $IP_INET1   #заполняем основную таблицу адресов. сеть на первого провайдера
        ip route add $NET_INET2 dev $IF_INET2 src $IP_INET2   #заполняем основную таблицу адресов. сеть на второго провайдера

        ip route add default via $GW_INET1         #заполняем основную таблицу адресов. дефолтный гейт.

        ip rule delete table T1      #удаляем наши таблицы, если они присутсвуют в текущей конфигурации (вдруг мы просто перезапускаем скрипт?)
        ip rule delete table T2      #аналогично для второй.
        ip rule delete table T1      #и делаем это два раза, так как у нас два правила на каждую таблицу.
        ip rule delete table T2      #аналогично для второй.

        #а вот это важно для понимая! если понять что происходит в следующих строчках - то можно настраивать любые правила маршрутизации.

        ip rule add from $IP_INET1 table T1   #все пакеты от ip адреса первого провайдера маршрутизировать по таблице T1
        ip rule add from $IP_INET2 table T2   #все пакеты от ip адреса второго провайдера маршрутизировать по таблице T2

        ip rule add fwmark 10 table T1   #все пакеты, которые имеют метку 10 маршрутизировать по таблице T1
        ip rule add fwmark 11 table T2   #все пакеты, которые имеют метку 11 маршрутизировать по таблицу T2

        ip route flush cache      #ну и на последок очистить кеш




 $IPT -t nat -F #очищаем таблицу nat
 $IPT -t mangle -F #очищаем таблицу mangle
 $IPT -t filter -F #очищаем таблицу filter
 
 #все пакеты, которые попали в цепочку PREROUTING таблицы mangle обрабатываем по двум правилам:
$IPT -t mangle -A PREROUTING -s $NET_SUB1 -d ! $NET_LOCAL -j MARK --set-mark 10 # все пакеты которые идут от $NET_SUB1 и не в $NET_LOCAL маркируем меткой 10
$IPT -t mangle -A PREROUTING -s $NET_SUB2 -d ! $NET_LOCAL -j MARK --set-mark 11 # все пакеты которые идут от $NET_SUB1 и не в $NET_LOCAL маркируем меткой 10

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 21 -j SNAT --to-source $IP_INET2

$IPT -t nat -A PREROUTING -d $IP_INET1 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET1 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 53 -j SNAT --to-source $IP_INET1

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 53 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 53 -j SNAT --to-source $IP_INET2

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 80 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 10000 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 443 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 22 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 22 -j SNAT --to-source $IP_INET2

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 25 -j SNAT --to-source $IP_INET2

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 143 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 143 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 143 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 110 -j SNAT --to-source $IP_INET2

$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 587 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 587 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 587 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 993 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 993 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 993 -j SNAT --to-source $IP_INET2
$IPT -t nat -A PREROUTING -d $IP_INET2 -p tcp -m tcp --dport 995 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A OUTPUT -d $IP_INET2 -p tcp -m tcp --dport 995 -j DNAT --to-destination 192.168.0.150
$IPT -t nat -A POSTROUTING -d 192.168.0.150 -p tcp -m tcp --dport 995 -j SNAT --to-source $IP_INET2

 #все пакеты, которые попали в цепочку POSTROUTING таблицы nat обрабатываем по двум правилам:
 $IPT -t nat -A POSTROUTING -m mark --mark 10 -j MASQUERADE # натим все пакеты которые имеют метку 10
 $IPT -t nat -A POSTROUTING -m mark --mark 11 -j MASQUERADE # натим все пакеты которые имеют метку 11
 
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   #Используя возможности модуля state мы отбрасываем некорректные пакеты и принимаем пакеты относящиеся к уже установленным соединениям либо ко вторичными соединениям (таким как передача данных в ftp).
$IPT -A INPUT -p tcp --dport 22 --syn -m state --state NEW -j ACCEPT
$IPT -A INPUT -i $IF_INET1 -p tcp --dport 443 --syn -m state --state NEW -j ACCEPT
$IPT -A INPUT -i $IF_INET1 -p tcp --dport 5900 --syn -m state --state NEW -j ACCEPT
$IPT -A INPUT -i $IF_INET1 -p tcp --dport 10000 --syn -m state --state NEW -j ACCEPT
   #Принимаем подключения по SSH отовсюду.
$IPT -A INPUT -i $IF_LOCAL -s $NET_LOCAL -j ACCEPT
   #Локальный трафик будет ходить без ограничений, хотя это не всегда правильно.
$IPT -A INPUT -i lo -j ACCEPT
   #Тоже на localhost.
$IPT -A OUTPUT -m state --state INVALID -j DROP
$IPT -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   #Эти правила аналогичны правилам в цепочке INPUT.
$IPT -A OUTPUT -o $IF_INET1 -p udp --dport 53 -j ACCEPT
   #Мы разрешили работать нашему DNS серверу через основного провайдера
$IPT -A OUTPUT -o $IF_INET1 -p tcp --dport 22 --syn -m state --state NEW -j ACCEPT
   #А также разрешили выходить наружу по SSH.
$IPT -A OUTPUT -o $IF_LOCAL -d $NET_LOCAL -m state --state NEW -j ACCEPT
   #Опять же на исходящий локальный трафик ограничений нет.
   #Переходим к обработке трафика из локальной сети:
    echo "

• Setting up FORWARD chain..."

$IPT -A FORWARD -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
   #Все те же два удобных правила.
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 21 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 22 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 25 --syn -m state --state NEW -j ACCEPT
#$IPT -A FORWARD -p tcp --dport 25 -s 192.168.0.150 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET1 -d 192.168.0.150 -p tcp --dport 53 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 53 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 80 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 110 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 143 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 443 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 587 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 993 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 995 --syn -m state --state NEW -j ACCEPT
$IPT -A FORWARD -i $IF_INET2 -d 192.168.0.150 -p tcp --dport 10000 --syn -m state --state NEW -j ACCEPT
   #Так у нас получается, что пакеты приходящие на первого провайдера пропускаются только на первый айпишник сервера, второго — на второй.
$IPT -A FORWARD -m conntrack -s $NET_LOCAL -j ACCEPT  --ctstate NEW
#$IPT -A FORWARD -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
#разрешаем инет для локалки


exit 0

[fisher74]

1. Уберите всё это под спойлеры.
2. со стороны первого провайдера почта и не будет работать, потому как не разрешён FORWARD по 25 и 110 с интерфейса eth0
И проясните фразу "почта в почтового сервера не уходит"

Зачем ЭТО???

(Нажмите, чтобы показать/скрыть)

-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 21 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source a.a.a.a
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 10000 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 443 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 22 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 25 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 143 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 110 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 587 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 993 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 995 -j SNAT --to-source b.b.b.b

Не проще на 192.168.0.150 шлюз выставить?

[shusha]

1. Уберите всё это под спойлеры.

Убрал, сразу не нашел )

2. со стороны первого провайдера почта и не будет работать, потому как не разрешён FORWARD по 25 и 110 с интерфейса eth0

со стороны второго только почта должна ходить

И проясните фразу "почта в почтового сервера не уходит"

исправил, опечатался

Зачем ЭТО???

(Нажмите, чтобы показать/скрыть)

-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 21 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source a.a.a.a
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 53 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 80 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 10000 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 443 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 22 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 25 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 143 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 110 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 587 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 993 -j SNAT --to-source b.b.b.b
-A POSTROUTING -d 192.168.0.150/32 -p tcp -m tcp --dport 995 -j SNAT --to-source b.b.b.b

Не проще на 192.168.0.150 шлюз выставить?

пробрасывал то что нужно, я не силен в iptables, как выставить шлюз? я так понял что шлюз это все со второго провайдера на внутренний сервер пробросить.

[shusha]

Так что не кто не скажет как посмотреть где затык или где ошибка?

[fisher74]

Шлюз на 192.168.0.150 имелось ввиду нечто вроде такого (вывод поправлен для Вашего случая)

~$ ip route | grep default
default via 192.168.0.1 dev eth0  proto static

Если оно так, то выделенные правила не нужны и будут только мешать, как в работе (зачем Вам лишняя нагрузка на ядро), так и для анализа в случае проблем. Так как до 192.168.0.150 все пакеты будут приходить как от шлюза. Оно Вам надо? Пусть сервер знает о том, кто с ним общается.

[shusha]

У меня

ip route | grep default
default via a.a.a.1 dev eth0

я уже не понимаю нечего. (
есть человек который может помочь настроить? Сколько пива надо? )

[fisher74]

У меня
ip route | grep default
default via a.a.a.1 dev eth0

Это на 192.168.0.150 такое? Не может быть.

[shusha]

нет это на шлюзе.
На *150

default via 192.168.0.1 dev eth0

без -  proto static
щас попробую удалить правила.
...
удалил
вроде бы все работает, но все равно
25/tcp filtered smtp

[fisher74]

С маркировкой ничего не напутали?
По правилам маршрутизации у Вас получается, что 192.168.0.150 - клиент первого провайдера, а ответы от него Вы отдаёте ждёте через второго.

-A PREROUTING -s 192.168.0.0/24 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xa/0xffffffff

ip rule add fwmark 10 table T1   #все пакеты, которые имеют метку 10 маршрутизировать по таблице T1

[fisher74]

Видимо нужно добавить

Код: [Выделить]

sudo iptables -t mangle -A PREROUTING -s 192.168.0.150/32 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xb/0xffffffff
Но вот только я не помню: действие MARK - терминирующее или нет. Если НЕтерминирующее, то можно просто правило добавить, если терминирующее, то его придётся первой среди трёх ставить.

Ну а лучше вообще перенести в правильный диапазон.
Кстати, если другие протоколы подо что-то ещё используются для первого провайдера, то в правиле нужно ещё и порты в условие добавить.

[shusha]

Видимо нужно добавить

Код: [Выделить]

sudo iptables -t mangle -A PREROUTING -s 192.168.0.150/32 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xb/0xffffffff

исправил правило, теперь
-A PREROUTING -s 192.168.0.150/32 -d ! 192.168.0.0/16 -j MARK --set-xmark 0xb/0xffffffff

Но вот только я не помню: действие MARK - терминирующее или нет. Если НЕтерминирующее, то можно просто правило добавить, если терминирующее, то его придётся первой среди трёх ставить.

Ну а лучше вообще перенести в правильный диапазон.
Кстати, если другие протоколы подо что-то ещё используются для первого провайдера, то в правиле нужно ещё и порты в условие добавить.

ну а вот тут я не понял, я еще не такой гуру)

[fisher74]

можете показать текущие действующие правила?

И снова спасибо wikipedia в которой чётко написано БЫЛО (за "было" отдельное "спасибо" правщику "Extern"), что действие MARK нетеминальное. Значит правило для 192.168.0.150 нужно добавлять в конец таблицы mangle