Перестали работать все правила DNAT

[maskimko]

Не пойму в чем дело, все работало нормально, и вот те на DNAT iptables перестал работать
Комп пингуется изнутри и снаружи
ip_forward 1
вот пример типичного правила проброса
iptables -t nat -A PREROUTING -d 44.44.44.44 -p tcp --dport 123 -j DNAT --to-destination 192.168.1.11:123
и он неаботает
В чем может быть грабля?

[uid0]

для начала на iptables бы взглянуть !

[maskimko]

Код: [Выделить]

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
REDIRECT   tcp  --  192.168.19.0/24     !10.0.0.0/8          tcp dpt:www redir ports 3128
DNAT       udp  -- !10.0.0.0/8           maskimko.adm-service.com.ua udp dpt:27015 to:192.168.4.2:27015
DNAT       tcp  --  anywhere             juventus.ethanol.ntu-kpi.kiev.ua tcp dpt:2219 to:192.168.4.23:2219
DNAT       tcp  -- !10.0.0.0/8           maskimko.adm-service.com.ua tcp dpt:ftp to:192.168.4.2:21
DNAT       tcp  -- !10.0.0.0/8           maskimko.adm-service.com.ua tcp dpt:2222 to:192.168.4.2:22
DNAT       tcp  -- !10.0.0.0/8           maskimko.adm-service.com.ua tcp dpt:2219 to:192.168.4.23:2219

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  192.168.19.0/24      anywhere           
MASQUERADE  all  --  192.168.4.0/24       10.0.0.0/8         
SNAT       tcp  --  192.168.4.2         !10.0.0.0/8          tcp spt:ssh to:77.47.187.109:2222

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         


Код: [Выделить]

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
ACCEPT     tcp  --  anywhere             192.168.4.2         tcp dpt:ssh

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain in_traffic (0 references)
target     prot opt source               destination         
RETURN     all  --  anywhere             anywhere           


[uid0]

Странности какие-то ! У меня как-то раз была подобная проблема ! И вышел я из неё сделав iptables-save и вписав вручную все правила в файл...

[maskimko]

Сейчас попробую, может поможет...

Пользователь решил продолжить мысль 28 Апреля 2010, 11:20:10:Неа, неработает....
Маскарадинг работает, проброс портов неработает.

[AnrDaemon]

Показывайте iptables-save
В СПОЙЛЕР

[uid0]

Меня всё же начинают терзать смутные сомнения, что это всё же глюк самой системы, ибо правила должны работать ! Присоединяюсь к AnrDaemon ! iptables-save в студию

[maskimko]

вот они!

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.3.8 on Wed Apr 28 08:47:44 2010
*nat
:PREROUTING ACCEPT [458791:39722131]
:POSTROUTING ACCEPT [33737:2432766]
:OUTPUT ACCEPT [33083:2367847]
-A PREROUTING -d 77.47.187.109 -p tcp -m tcp --dport 2222 -j DNAT --to-destination 192.168.4.2:22
-A POSTROUTING -s 192.168.4.0/255.255.255.0 -d 10.0.0.0/255.0.0.0 -j MASQUERADE
-A POSTROUTING -s 192.168.19.0/255.255.255.0 -d ! 10.0.0.0/255.0.0.0 -j MASQUERADE
COMMIT
# Completed on Wed Apr 28 08:47:44 2010
# Generated by iptables-save v1.3.8 on Wed Apr 28 08:47:44 2010
*filter
:INPUT ACCEPT [9892513:4920888140]
:FORWARD ACCEPT [5598876:2295765166]
:OUTPUT ACCEPT [10092085:4997353162]
:in_traffic - [0:0]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Wed Apr 02 08:47:44 2010

[kobaltd]

iptables -I FORWARD -d xxx.xxx.xxx.xxx -i qqq --dport yyyy -j ACCEPT
Iptables такая загадочная штука что ACCEPT на цепочку не всегда работает, в часности на форварде он стработает только тогда когда соурс и дистенейшен прошли через route, в вашем случаи они не проходят - т.е. юзаете DNAT и соответственно надо явно разрешить проход.

[maskimko]

Что? Набор слов. Дело в том, что все работало. а

iptables -I FORWARD -d xxx.xxx.xxx.xxx -i qqq --dport yyyy -j ACCEPT

пробовал не помогло...., почему не понял. Если можно, объясни почему пакеты не проходят, еще раз более подробно.

[alex_chipmunk]

на 192.168.1.11 заходишь с той же подсети или с интернета?

[AnrDaemon]

Попробуй убрать адрес назначения в правиле прероутинга.
У меня
-t nat -A PREROUTING -p tcp -m tcp --dport 23 -j DNAT --to-destination 192.168.17.2:23
-t filter -A FORWARD -p tcp -m tcp --dport 23 -j ACCEPT

работает без сбоев. (Желающим посканить и побрутить - обломайтесь, там GSTS сидит. Удачи найти сервтификат шифрования...)