É possível filtrar pacotes pré-configurados no iptables?

Question

Eu tenho as seguintes regras:

iptables -t nat -I PREROUTING -d 1.2.3.4 -p udp -m udp --dport 6881 -j DNAT --to-destination 10.11.12.6
iptables -N RTORR
iptables -I FORWARD -s 10.11.12.16 -p udp -m udp --sport 6881 -j RTORR
iptables -A RTORR -d 2.3.4.5 -j ACCEPT
iptables -A RTORR -j DROP

Mas a filtragem não funciona. Parece que os pacotes não atingem a regra FILTER. É possível filtrar pacotes pré-definidos?

    

Answer 1

Vamos analisar suas regras.

-t nat -I PREROUTING -d 1.2.3.4 ... -j DNAT --to 10.11.12.16

Aqui, os pacotes com dest-address de 1.2.3.4 são DNAT-ed. O que significa que o dest-address será substituído por 10.11.12.16

-I FORWARD -s 10.11.12.16 ... -j RTORR

Esta regra corresponde a pacotes com src-address de 10.11.12.16. Se você espera que os pacotes com DNAT pela primeira regra correspondam a essa regra ... bem, pense novamente.

Como você pode ver, a primeira regra altera o dest-address , enquanto essa regra tenta corresponder a src-address .