iptables: redireciona a solicitação local com o NAT

Question

Gostaria de redirecionar solicitações locais para a porta que é traduzida com NAT. Eu tenho as seguintes regras:

iptables -t nat -A PREROUTING -p tcp --dport 9020 -j DNAT --to 10.0.3.11:80

no entanto, solicitações provenientes de localhost são rejeitadas:

wget http://127.0.0.1:9020
Connecting to 127.0.0.1:9020... failed: Connection refused.

Quando me conecto de qualquer outro computador, ele funciona. Existe uma maneira de fazer isso sem recompilar o kernel com CONFIG_IP_NF_NAT_LOCAL=y ? link (que parece estar obsoleto).

Atualização:

iptables -L -v -n --line-numbers -t nat :

Chain PREROUTING (policy ACCEPT 26 packets, 3230 bytes)
num   pkts bytes target     prot opt in     out     source            destination    
4       0   0     DNAT      tcp  --  *       *      0.0.0.0/0         0.0.0.0/0   tcp dpt:9020 to:10.0.3.11:80

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source                destination         
1        0     0 MASQUERADE all  --  *       *      10.0.0.0/16           0.0.0.0/0 

    

Answer 1

Baseado nos comentários do @Hauke Laging, eu juntei isto:

# connections from outside
iptables -t nat -A PREROUTING -p tcp --dport 9020 -j DNAT --to 10.0.3.11:80
# for local connection
iptables -t nat -A OUTPUT -p tcp --dport 9020 -j DNAT --to 10.0.3.11:80

# Masquerade local subnet
iptables -t nat -A POSTROUTING -s 10.0.3.0/16 -j MASQUERADE
iptables -A FORWARD -o lxcbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i lxcbr0 -o eth0 -j ACCEPT
iptables -A FORWARD -i lxcbr0 -o lo -j ACCEPT

onde lxcbr0 é a interface em 10.0.3.0/16 subnet e eth0 é a interface com os endereços IP públicos.