利用 iptables 的 NAT 进行的端口转发突然失效
caizixian · caizixian · 2015-03-17 19:20:36 +08:00 · 5742 次点击这是一个创建于 3544 天前的主题，其中的信息可能已经有所发展或是发生改变。
一台Ubuntu Server 12.04 x86
原先利用iptables的NAT把8080转发到本机的80，把8888转发到22(不要问为什么)。
iptables -t nat -I PREROUTING -p tcp --dport 8888 -j REDIRECT --to-ports 22
iptables -t nat -I PREROUTING -p udp --dport 8888 -j REDIRECT --to-ports 22
iptables -t nat -I PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
iptables -t nat -I PREROUTING -p udp --dport 8080 -j REDIRECT --to-ports 80
结果今天在别处通过8888接不上SSH了，但是通过8080还是可以访问到上面跑着的Apache。
于是直接跑到服务器那里，物理登录，发现ssh 127.0.0.1可以连接，而ssh 127.0.0.1:8888无法连接。
感觉特别奇怪。因为已经正常工作了2年了。通过iptables -L -t nat发现规则依然存在。ufw status发现也都allow那些端口了(连127.0.0.1都连不上应该跟Firewall没关系)。netstat看了，端口没有被别的程序占用。
这究竟是什么情况，求支招。
4 条回复 • 2015-03-18 16:15:16 +08:00
 |
1
ForgotFun 2015-03-17 22:50:11 +08:00
1."结果今天在别处通过8888接不上SSH了"的问题,其实应该是你网络封锁了对应的端口或者ssh协议.
2.ssh 127.0.0.1:8888 当然是不能访问的,你上面的规则只是针对通过NAT的流量. REDIRECT 本质上一个DNAT规则. 所以你这样就理解为啥127.0.0.1:8888 不能访问. |
 |
2
ryd994 2015-03-17 23:31:15 +08:00 via Android
连不上是reset还是timeout？
你sshd还健在么？ |
 |
3
extreme 2015-03-18 00:23:54 +08:00
你的规则是针对入路由的数据包的，很明显127.0.0.1不会经过预路由。
只有外部到你的主机的数据包才会经过预路由的链。 针对内部的NAT规则，应该插入到OUTPUT链中。 |
Select Language