Marcando Pacotes com DNAT [RESOLVIDO]

lejoso
(usa Debian)

Enviado em 08/01/2014 - 13:54h

iptables -t mangle -I PREROUTING -p tcp --dport 8080 -i eth_oi -j CONNMARK --set-mark 0x2
iptables -t mangle -I PREROUTING -m connmark --mark 0x2 ! -i eth_oi -j MARK --set-mark 0x2

iptables -t mangle -I PREROUTING -p tcp --dport 8080 -i eth_oi2 -j CONNMARK --set-mark 0x4
iptables -t mangle -I PREROUTING -m connmark --mark 0x4 ! -i eth_oi2 -j MARK --set-mark 0x4

iptables -t mangle -I PREROUTING -p tcp --dport 8080 -i eth_oi1 -j CONNMARK --set-mark 0x3
iptables -t mangle -I PREROUTING -m connmark --mark 0x3 ! -i eth_oi1 -j MARK --set-mark 0x3

iptables -t mangle -I PREROUTING -p tcp --dport 8080 -i eth_embratel -j CONNMARK --set-mark 0x1
iptables -t mangle -I PREROUTING -m connmark --mark 0x1 ! -i eth_embratel -j MARK --set-mark 0x1


Obs:

- Corrigir apenas o nome das interfaces com as interfaces corretas do seu servidor (-i ethx);
- O link default não precisa de marcações, pois o retorno dos pacotes já sairia por eles. Como você tem 4 link, apenas 3 conjuntos (6 regras no total) seriam necessários. Mas isso é opcional, embora não acho que se colocar as marcações também pro link default dará problemas;
- Essas regras acima serviriam apenas para o DNAT da porta 8080. Dessa forma, o conjunto de 6 regras teria que ser criado para cada regra de DNAT, caso você tenha mais regras. Você pode tentar tirar a condição "-p tcp --dport 8080", ai as regras ficariam genéricas e com isso já valeria para todos os Dnat, porém tem que ficar atento se não acarretará problemas com outras conexões. A princípio acho que não dá problemas, mas é bom ficar atento. Eu particularmente evito regras bem genéricas, pois são mais sucetíveis a erros, mas é questão de colocar e testar.

Att,

Lejoso