Пустить подсеть мимо NAT

[electro_]

Добрый день, ребята!

 

Застрял на задаче. Нужно реализовать правило iptables

 

Пустить подсеть абонента 172.0.0.0/20 мимо NAT до маршрутизации пакета на ip 91.0.0.0/32

 

На даный момент используется NAT

 

iptables -t nat -A POSTROUTING -s 172.0.0.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.1.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.2.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.3.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.4.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.5.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.6.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

iptables -t nat -A POSTROUTING -s 172.0.7.0/255.255.255.0 -j SNAT --to-source ВНЕШНИЙ АЙПИ

[NiTr0]

заворот трафика в отдельную таблицу, в которой - сначала RETURN для указанных dst, а потом - собссно нат.

[electro_]

заворот трафика в отдельную таблицу, в которой - сначала RETURN для указанных dst, а потом - собссно нат.

 

А можно ли конкретное правило для этого примера ?

[ShumBor]

На этот хост не натить как я понял 91.0.0.0/32

Ну можно таким образом:

 

iptables -t nat -A POSTROUTING -s 172.0.0.0/255.255.255.0 ! -d 91.0.0.0/32 -j SNAT --to-source ВНЕШНИЙ АЙПИ

 

остальные строчки по аналогии

[electro_]

На этот хост не натить как я понял 91.0.0.0/32

Ну можно таким образом:

 

iptables -t nat -A POSTROUTING -s 172.0.0.0/255.255.255.0 ! -d 91.0.0.0/32 -j SNAT --to-source ВНЕШНИЙ АЙПИ

 

остальные строчки по аналогии

 

 

Чуть не так. Мне нужно что бы из подсети 172.0.0.0/255.255.255.0 перед НАТ открывался 91.0.0.0/32 типа локально до правил НАТ

[electro_]

заворот трафика в отдельную таблицу, в которой - сначала RETURN для указанных dst, а потом - собссно нат.

 

Чуть не так. Мне нужно что бы из подсети 172.0.0.0/255.255.255.0 перед НАТ открывался 91.0.0.0/32 типа локально до правил НАТ

[vop]

Я, например, ничего не понял. Надо что бы трафик на 91.0.0.0/32 не натился? Ну так помним, что netfilter в линуксе имеет процедурную форму, и, как уже говорилось, содается цепочка, в которой сначала отпускается все, что не надо натить, а потом натим. Впихивать весь список в корневую цепочку не совсем красиво.

 

заворот трафика в отдельную таблицу, в которой - сначала RETURN для указанных dst, а потом - собссно нат.

 

Чуть не так. Мне нужно что бы из подсети 172.0.0.0/255.255.255.0 перед НАТ открывался 91.0.0.0/32 типа локально до правил НАТ

 

Куда "открывался"?

[electro_]

Я, например, ничего не понял. Надо что бы трафик на 91.0.0.0/32 не натился? Ну так помним, что netfilter в линуксе имеет процедурную форму, и, как уже говорилось, содается цепочка, в которой сначала отпускается все, что не надо натить, а потом натим. Впихивать весь список в корневую цепочку не совсем красиво.

 

заворот трафика в отдельную таблицу, в которой - сначала RETURN для указанных dst, а потом - собссно нат.

 

Чуть не так. Мне нужно что бы из подсети 172.0.0.0/255.255.255.0 перед НАТ открывался 91.0.0.0/32 типа локально до правил НАТ

 

Куда "открывался"?

 

 

Есть ресурс https://91.196.xx.xx:9443 и мне нужно что бы он открывался локально из всей подсети 172.0.0.0/255.255.255.0 перед началом правил НАТ

[vop]

Есть ресурс https://91.196.xx.xx:9443 и мне нужно что бы он открывался локально из всей подсети 172.0.0.0/255.255.255.0 перед началом правил НАТ

 

Как-то забавно вы описываете. Как он может открываться перед правилами, если он сам находится за правилами? :) В общем, вам не надо натить трафик из локальной сети в 91.196 на порт 9443.

[electro_]

Этот ресурс располагается до ната или после?

 

до ната. И оказывается все просто iptables -t nat -A POSTROUTING -s 172.15.0.0/20 -d нужный ресурс -j ACCEPT

 

все остальное - тобишь весь интернет уже идет в нат адреса

 

всем спасибо! вопрос закрыт

[vop]

всем спасибо! вопрос закрыт

 

Он был закрыт в сообщении номер 2, а в сообщении номер 4 был закрыт крышкой. Хех...