Port Forwarding on DROP policy

Question

Estou tentando fazer um encaminhamento de porta na porta 80 para uma máquina virtual. Se eu definir a política padrão como ACEITAR nas cadeias de entrada, saída e encaminhamento, o encaminhamento funcionará. No entanto, se eu colocar a política no DROP e abrir as portas relevantes, não consigo fazê-lo funcionar. O que estou perdendo?

#!/bin/bash
IPT="/sbin/iptables"

echo "Starting IPv4 Wall..."
$IPT -F
$IPT -X
$IPT -t nat -F
$IPT -t nat -X
$IPT -t filter -F
$IPT -t filter -X
$IPT -t mangle -F
$IPT -t mangle -X
$IPT -t nat  -F PREROUTING
$IPT -t nat  -F POSTROUTING
$IPT -t nat  -F OUTPUT
#modprobe ip_conntrack


# DROP all incomming traffic
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD ACCEPT

# Unlimited Access to localhost
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

#Allow ESTABLISHED,RELATED

$IPT -A INPUT -i em4 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -o em4 -m state --state ESTABLISHED,RELATED -j ACCEPT

#Allow outbound SYN requests
$IPT -A OUTPUT -o em4 -m state --state NEW -j ACCEPT


#Allow SSH (Port 22)
$IPT -A INPUT -i em4 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -o em4 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

### Allow HTTP port 80
###$IPT -A INPUT -i em4 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
###$IPT -A OUTPUT -o em4 -p tcp --sport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

# allow HTTP & HTTPS
$IPT -A OUTPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
$IPT -A INPUT -p tcp  -m multiport --sports 80,443 -j ACCEPT

# allow DNS
$IPT -A OUTPUT -p udp --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -p udp --sport 53 -m state  --state ESTABLISHED,RELATED -j ACCEPT

# Allow Ports 2222:2226
$IPT -A INPUT -i em4 -p tcp --dport 2222:2226 -m state --state NEW,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -o em4 -p tcp --sport 2222:2226 -m state --state NEW,ESTABLISHED -j ACCEPT


##funciona
$IPT -t nat -A PREROUTING -p tcp --dst $EXTERNALIP --dport 80 -j DNAT --to-destination 192.168.122.1:8080
$IPT -t nat -A POSTROUTING -p tcp --dst 192.168.122.1 --dport 8080 -j SNAT --to-source $EXTERNALIP
$IPT -t nat -A OUTPUT --dst $EXTERNALIP -p tcp --dport 80 -j DNAT --to-destination 192.168.122.1:8080

$IPT -I FORWARD -j LOG --log-prefix "iptables denied"



echo "Done, exiting"
exit 0

    

Answer 1

The official netfilter doc states that the PREROUTING is checked before the INPUT chain.

link

Em outras palavras, o NOVO pacote primeiro passa pelo PREROUTING e quando o seu INPUT ou o seu FORWARD examina o pacote NOVO, ele já contém a porta de destino 8080. E ele cai de acordo com suas próprias regras.