NAT/Iptables , duvida simples

[fabricio_]

bom eu fiz 2 diagramas de como funciona o NAT fazendo pelo iptables ...
soh que me apareceu uma duvida .. axo que eh simples ...
vejam se esta certo ... :}

http://img294.imageshack.us/my.php?i...iagram17fb.jpg

http://img246.imageshack.us/my.php?i...iagram26jt.jpg

tah certo isso ???

e no segundo exemplo ... na sintaxe ta definido "-o eth1" nao entendi isso ...
eh tudo que tem destino a eth1 certo ? entao nao tinha que ser "-i" ??
sao coisas simples mas que me deixam encafifado =D
uuhuh tchau
----------------------edit ------------------------------
axo que entendi ... o "-o" seria a interface que tem o ip valido pra internet , certo ?
entao nesse diagrama tah errado , teria que ser eth1 ... estou certo ?

[felco]

-o no caso siginifica a int que irá ser usada para a saida dos pacotes (output)
voce nao pode usar o -i dentro da chain POSTROUTING porque o pacotes nela tem o destino de sair da maquina não entrar, entendeu?

felco, se eu colocar -o interfaceinterna -j ACCEPT ele aceita todos os pacotes.


Tem e depois só essa opcao eu libero o que precisar na rede interna...


Mas com o -o eu posso colocar porta especifica ?

[Brenno]

foca linux

Para fazer IP Masquerading de uma máquina com o IP 192.168.1.2 para ter acesso a Internet, use o comando:

iptables -t nat -A POSTROUTING -s 192.168.1.2/32 -o ppp0 -j MASQUERADE

A diferença é que o alvo é -j MASQUERADE. O comando acima faz IP Masquerading de todo o tráfego de 192.168.1.2 indo para a interface ppp0: O endereço IP dos pacotes vindos de 192.168.1.2 são substituídos pelo IP oferecido pelo seu provedor de acesso no momento da conexão, quando a resposta é retornada a operação inversa é realizada para garantir que a resposta chegue ao destino. Nenhuma máquina da internet poderá ter acesso direto a sua máquina conectava via Masquerading.

Para fazer o IP Masquerading de todas as máquinas da rede 192.168.1.*:

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

Após definir a regra para fazer Masquerading (SNAT), execute o comando echo "1" >/proc/sys/net/ipv4/ip_forward para habilitar o suporte a redirecionamento de pacotes no kernel.

abraço