再求助一个关于iptables转发的问题

70 views
Skip to first unread message

张苏鹏

unread,
Jun 24, 2014, 11:13:58 PM6/24/14
to fuji...@googlegroups.com
碰到了这么个问题，求大神帮忙解答个，就是如果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到iptables所在机器的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢

muxueqz(张明源)

unread,
Jun 24, 2014, 11:54:48 PM6/24/14
to fuji...@googlegroups.com
可能要看内核才知道了，但应该不会再经过路由，而是由iptables直接转给对应的程序

张苏鹏 <allen1...@gmail.com>于2014年6月25日星期三写道：
碰到了这么个问题，求大神帮忙解答个，就是如果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到iptables所在机器的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢

--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。


--

Scan

unread,
Jun 25, 2014, 12:37:13 AM6/25/14
to fuji...@googlegroups.com
soga，那了解了，多谢明源兄了


On 06/25/2014 11:54 AM, muxueqz(张明源) wrote:
可能要看内核才知道了，但应该不会再经过路由，而是由iptables直接转给对应的程序

张苏鹏 <allen1...@gmail.com> 于2014年6月25日星期三写道：
碰到了这么个问题，求大神帮忙解答个，就是如 果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到iptables所在机器 的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢
--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。


--

--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。

-- 

send by Scan
connect me with allen1...@gmail.com

Scan

unread,
Jun 25, 2014, 12:50:49 AM6/25/14
to fuji...@googlegroups.com
不过我好像犯了个错。。。filter表中没办法做dnat改变目的地址来着= =|||


On 06/25/2014 11:54 AM, muxueqz(张明源) wrote:
可能要看内核才知道了，但应该不会再经过路由，而是由iptables直接转给对应的程序

张苏鹏 <allen1...@gmail.com> 于2014年6月25日星期三写道：
碰到了这么个问题，求大神帮忙解答个，就是如 果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到iptables所在机器 的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢
--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。


--

--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。

-- 

send by Scan
connect me with allen1...@gmail.com

Scan

unread,
Jun 25, 2014, 1:47:50 AM6/25/14
to fuji...@googlegroups.com
还有一个问题，奇怪了，我写了一个iptables的指令：
sudo iptables -t nat -A PREROUTING -i wlp3s0 -m mac --mac-source \!00:90:4c:c5:12:38 -j DNAT --to-destination 115.239.211.110
报错了，错误提示是iptables v1.4.21: ether，但是不加那个！就是可以的，不知道是啥地方错了


On 06/25/2014 12:50 PM, Scan wrote:
不过我好像犯了个错。。。filter表中没办法做dnat改变目的地址来着= =|||

On 06/25/2014 11:54 AM, muxueqz(张明源) wrote:
可能要看内核才知道了，但应该不会再经过路由，而是由iptables直接转给对应的程序

张苏鹏 <allen1...@gmail.com> 于2014年6月25日星期三写道：
碰到了这么个问题，求大神帮忙解答个，就是如 果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到iptables所在 机器 的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢
--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。


--

--
您收到此邮件是因为您订阅了Google网上论坛中的“福建Linux用户组”论坛。
要退订此论坛并停止接收此论坛的电子邮件，请发送电子邮件到fujianlug+...@googlegroups.com。
要查看更多选项，请访问https://groups.google.com/d/optout。

-- 

send by Scan
connect me with allen1...@gmail.com

muxueqz(张明源)

unread,
Jun 25, 2014, 3:07:10 AM6/25/14
to fuji...@googlegroups.com
语法不对，换成下面的就可以执行了，不过我没验证是否可用。
sudo iptables -t nat -A PREROUTING -i wlp3s0 -m mac ! --mac-source 00:90:4c:c5:12:38 -j DNAT --to-destination 115.239.211.110

另外，filter表不用DNAT可以用REDIRECT转给本机

Scan <allen1...@gmail.com>于2014年6月25日星期三写道：

Scan

unread,
Jun 26, 2014, 3:14:06 AM6/26/14
to fuji...@googlegroups.com
re:名源
你这样的话，是想针对所有协议吗？
-p可以加all或者干脆不加-p参数

并不是所有的，icmp的包就不做重定向了，我用all的话给我报了这么一个错误回来
iptables v1.4.10: Need TCP, UDP, SCTP or DCCP with port specification
不懂为啥



On 06/25/2014 03:07 PM, muxueqz(张明源) wrote:
语法不对，换成下面的就可以执行了，不过我没验证是否可用。
sudo iptables -t nat -A PREROUTING -i wlp3s0 -m mac ! --mac-source 00:90:4c:c5:12:38 -j DNAT --to-destination 115.239.211.110

另外，filter表不用DNAT可以用 REDIRECT转给本机

Scan <allen1...@gmail.com> 于2014年6月25日星期三写道：
还有一个问题，奇怪了，我写了一个iptables的指令：
sudo iptables -t nat -A PREROUTING -i wlp3s0 -m mac --mac-source \!00:90:4c:c5:12:38 -j DNAT --to-destination 115.239.211.110
报错了，错误提示是iptables v1.4.21: ether，但是不加那个！就是可以的，不知道是啥地方错了

On 06/25/2014 12:50 PM, Scan wrote:
不过我好像犯了个错。。。filter表中没办法做dnat改变目的地址来着= =|||

On 06/25/2014 11:54 AM, muxueqz(张明源) wrote:
可能要看内核才知道了，但应该不会再经过路由，而是由iptables直 接转给对应的程序

张苏鹏 <allen1...@gmail.com> 于2014年6月25日星期三写道：
碰到了这么个问题，求大神帮忙解答个，就是如 果一个数据包在iptables里面filter表FORWARD链里面做过滤，把数据包重定向到 iptables所在 机器 的ip上，那数据包是通过下一个路由转发回来还是说不做转发而直接进入当前机器的服务程序呢

muxueqz(张明源)

unread,
Jun 26, 2014, 3:32:35 AM6/26/14
to fuji...@googlegroups.com
这样的话，建议你拆分成多条，可能我记错了，并没有-p all这个参数


Scan <allen1...@gmail.com>于2014年6月26日星期四写道：
Reply all
Reply to author
Forward
0 new messages