iptables Prerouting X Forward

[Thuur]

E ai galera,
seguinte duvida,
a tabela NAT tem precedencia sobre a tabela FILTER?
no guia foca linux diz que sim, primeiro o pacote passa pela tabela NAT e depois vai para FILTER. Mais outros tutoriais dizem que é uma questão de ondem do firewall, ex: se uma regra de FORWARD vier primeiro, então é ela que vai cuidar do pacote.
O que vez acham???

Valeu!!!

[Newton_Pasqualini]

Olha só:

Os pacotes são analisados primeiro pela tabela FILTER na chain FORWARD depois vão para a NAT...

Mas nada, a tabela NAT engloba modificações de pacote, DNAT, SNAT, MASQUERADE, etc....

Para aceitar ou não pacotes que passem pelo firewall use a chain FORWARD...

E para fazer um Firewall "seguro" trabalhe com as politicas DROP

Abs

[supercelso]

Pelo que mostra o fluxo de dados do iptables, o guia focalinux diz que os pacotes são analizados primeiro na chain PREROUTING da tabela NAT.

Acho q é isso..

Abraços,

[Newton_Pasqualini]

Sim...

Ele analisa como as posições da tabela mangle....

PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING

Abs

[Nath]

Faça o seguinte teste, supondo que o firewall esteja todo bloqueado,
vamos suporte que a primeira regra seja um forward de um ip da minha rede direto pela porta 80

iptables -A FORWARD -p tcp -s 192.168.0.2 --dport 80 -j ACCEPT

e logo apos a seguinte regra,

iptables -t nat -A PREROUTING -p tcp -s $REDE --dport 80 -j REDIRECT --to 3128

a primeiro regra perimite que a maquina passe direto pela porta 80 sem ser direcionados para a porta 3128.
Isso mostra que o tutorial do foca-linux não esta correto, ou foi apenas um modo ilustrativo que o cara usou para explicar o funcionamento do iptables.

Falow

[mistymst]

Sim...

Ele analisa como as posições da tabela mangle....

PREROUTING
INPUT
FORWARD
OUTPUT
POSTROUTING

Abs

Correto. entretanto ela nao passa pela INPUT e depois pela FORWARD, e sim é verificado o destino do pacote, CASO nao seja para a maquina ela sera jogada para a FORWARD caso seja para a maquina, o pacote vai para a INPUT e nao uma depois a outra.

[Newton_Pasqualini]

Certo