o redirecionamento feito pelo iptables entra em vigor mesmo depois que eu removi a regra da cadeia

Question

por exemplo, adicionei a seguinte regra à cadeia PREROUTING:

iptables -t nat -A PREROUTING -d 210.210.210.210 -j DNAT --to-destination 200.200.200.200

(digamos que ambos os endereços IP são servidores da web na internet)

agora, quando uso qualquer navegador para navegar até 210.210.210.210, sou redirecionado para 200.200.200. Por enquanto, tudo bem.. Quando eu remover a regra da cadeia logo após eu surfar, e fazer uma atualização ou digitar novamente o endereço e imprensa "ir" eu ainda sou redirecionado para 200.200.200.200 sua estadia assim por alguns minutos e depois de um tempo quando eu tentar novamente eu volto para 210.210.210.210

se for um problema de cache do navegador, como posso forçá-lo a não armazenar em cache o endereço do dns ou como o iptables pode impedir que isso aconteça?

    

Answer 1

O NAT no Linux é implementado através da infraestrutura de 'rastreamento de conexão'. Como o nome indica, rastreia a conexão. A regra nat apenas define o que fazer quando a conexão é iniciada - então o NAT é configurado, uma regra conntrack é criada e a regra nat do iptables não é mais usada para essa conexão.

O navegador provavelmente usa uma conexão HTTP persistente com o servidor e, depois de remover a regra, as solicitações são enviadas pela conexão já estabelecida.

O utilitário 'conntrack' ( link ) do pacote conntrack-tools pode ajudá-lo a remover a regra conntrack .

Se esse utilitário não estiver disponível para você, você pode tentar quebrar a conexão com outras regras do iptables, como esta (ele pára o todo tráfego para 200.200.200.200):

iptables -I FORWARD -d 200.200.200.200 -j REJECT

Geralmente, isso precisa ser inserido no início da tabela FORWARD ('-I'), geralmente há uma regra para aceitar todas as conexões estabelecidas em algum lugar já existente.

Eu usei o REJECT, pois isso envia uma resposta de erro ao remetente, o que pode interromper a conexão antes do DROP.