Исходное сообщение
"Непонимание с iptables" Отправлено Licha Morada, 20-Мрт-20 21:48
> На локальном интерфейсе висит серверный софт. > Пытаюсь перенаправить запросы клиентского приложения по определенному порту на локальный > сервер, с подменой ip. Что вам не позволяет повесить серверный софт на UDP/0.0.0.0:666 и предложить клиентскому приложению запрашивать адрес-сервера:666 ? Чтобы не ходил кто попало, можно фильтровать правилами INPUT. Если вам критично, чтобы серверный софт думал что клиент пришёл с 8.8.8.8, то, подозреваю, одним netfilter-ом на локальной машине не обойтись. Смотрите шпаргалку, на предмет того как пакеты предназначенные локальному процессу не попадают в цепочку POSTROUTING, где можно делать DNAT. Хотя, думаю, с привлечением других инструментов, можно что-то придумать. Это будет грязно и громоздко. Если вам критично, чтобы серверный софт думал что слушает только UDP/127.0.0.1:666, то я бы рекомендовал DNAT, вместо исправления ошибок синтакса в REDIRECT. Тут хорошо описанно: https://gsoc-blog.ecklm.com/iptables-redirect-vs.-dnat-vs.-t.../ "This iptables target cannot be associated with a well-known networking solution. It is like a special DNAT rule where..." Не стоит отклонятся от well-known без особой на то надобности. Если вам критично это дело логировать, то смотрите сниффером что, собственно, происходит, и следите за порядком применения правил netfilter. Скорее всего, пакет выкидывают из цепочки то того как он дойдёт то LOG.

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> На локальном интерфейсе висит серверный софт. >> Пытаюсь перенаправить запросы клиентского приложения по определенному порту на локальный >> сервер, с подменой ip. > Что вам не позволяет повесить серверный софт на UDP/0.0.0.0:666 и предложить клиентскому > приложению запрашивать адрес-сервера:666 ? > Чтобы не ходил кто попало, можно фильтровать правилами INPUT. > Если вам критично, чтобы серверный софт думал что клиент пришёл с 8.8.8.8, > то, подозреваю, одним netfilter-ом на локальной машине не обойтись. Смотрите шпаргалку, > на предмет того как пакеты предназначенные локальному процессу не попадают в > цепочку POSTROUTING, где можно делать DNAT. Хотя, думаю, с привлечением других > инструментов, можно что-то придумать. Это будет грязно и громоздко. > Если вам критично, чтобы серверный софт думал что слушает только UDP/127.0.0.1:666, то > я бы рекомендовал DNAT, вместо исправления ошибок синтакса в REDIRECT. Тут > хорошо описанно: https://gsoc-blog.ecklm.com/iptables-redirect-vs.-dnat-vs.-tproxy/ > "This iptables target cannot be associated with a well-known networking solution. It > is like a special DNAT rule where..." > Не стоит отклонятся от well-known без особой на то надобности. > Если вам критично это дело логировать, то смотрите сниффером что, собственно, происходит, > и следите за порядком применения правил netfilter. Скорее всего, пакет выкидывают > из цепочки то того как он дойдёт то LOG.
	Введите код, изображенный на картинке: