主页 / unix / 问题 / 566251
Accepted
Pavel_K
Asked: 2020-02-07 22:28:40 +0800 CST

如何使用 iptables 使用两个接口进行端口转发？

  • 772

我有一个带有两个接口 wan 和 lan(192.168.0.1) 的 debian 盒子。在 lan:80 我有一个必须从本地网络访问的站点。我还需要从 wan:777 访问这个站点。这是我的 iptables 规则：

iptables -A INPUT -i $LAN -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i $WAN --dport 777 -j DNAT --to-destination 192.168.0.1:80
iptables -A FORWARD -p tcp -d 192.168.0.1 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

但是，它不起作用。仅当我从-i $LANINPUT 中删除时它才有效。我的意思是这样：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i $WAN --dport 777 -j DNAT --to-destination 192.168.0.1:80
iptables -A FORWARD -p tcp -d 192.168.0.1 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

但是，这是一个不好的方法，因为站点现在也在 wan:80 上，这不是我想要的。我的错误是什么？

linux networking

3 个回答

  1. 你可以试试 iptables -A INPUT -d 192.168.0.1 -p tcp --dport 80 -j ACCEPT

    这是错误的使用方式 iptables -A INPUT -i $LAN -p tcp --dport 80 -j ACCEPT

    • 0

  2. 如果网络服务器正在侦听端口 80，那么您需要在 INPUT 链上启用该端口。如果不允许到达目标端口，NAT 是不够的，这就是如果您不限制源接口它可以工作的原因。

    由于目的地相同，您不能在 WAN:777 端口上定义另一个虚拟主机吗？

    • 0
  3. Best Answer

    我在俄罗斯 Linux 论坛上得到了答案：

    iptables -t mangle -A PREROUTING -i $WAN -p tcp --dport 777 -j MARK --set-mark 0x1234
iptables -t nat -A PREROUTING -p tcp -i $WAN --dport 777 -j DNAT --to-destination 192.168.0.1:80
iptables -A INPUT -m mark --mark 0x1234 -j ACCEPT
    • 0

相关问题