Действие REDIRECT

Действие MASQUERADE

Маскарадинг (MASQUERADE) в основе своей представляет то же самое, что и SNAT только не имеет ключа --to-source. Причиной тому то, что маскарадинг может работать, например, с dialup подключением или DHCP, то есть в тех случаях, когда IP адрес присваивается устройству динамически.

Маскарадинг подразумевает получение IP адреса от заданного сетевого интерфейса, вместо прямого его указания, как это делается с помощью ключа --to-source в действии SNAT. Действие MASQUERADE имеет хорошее свойство – «забывать» соединения при остановке сетевого интерфейса. В случае же SNAT, в этой ситуации, в таблице трассировщика остаются данные о потерянных соединениях, и эти данные могут сохраняться до суток, поглощая ценную память. Эффект «забывчивости» связан с тем, что при остановке сетевого интерфейса с динамическим IP адресом, есть вероятность на следующем запуске получить другой IP адрес, но в этом случае любые соединения все равно будут потеряны, и было бы глупо хранить трассировочную информацию.

Действие MASQUERADE допускается указывать только в цепочке POSTROUTING таблицы NAT, так же как и действие SNAT. MASQUERADE имеет ключ, описываемый ниже
(таблица 3.25), использование которого необязательно.

Таблица 3.25. Действие MASQUERADE

Ключ	Пример	Описание
--to-ports	iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000	Ключ --to-ports используется для указания порта источника или диапазона портов исходящего пакета. Можно указать один порт, например: --to-ports 1025, или диапазон портов как здесь: --to-ports 1024-3000. этот ключ можно использовать только в правилах, где критерий содержит явное указание на протокол TCP или UDP с помощью ключа --protocol.

Выполняет перенаправление пакетов и потоков на другой порт той же самой машины. К примеру, можно пакеты, поступающие на HTTP порт перенаправить на порт HTTP proxy. Действие REDIRECT очень удобно для выполнения «прозрачного» проксирования (transparent proxing).

REDIRECT может использоваться только в цепочках PREROUTING и OUTPUT таблицы NAT. Для действия REDIRECT предусмотрен только один ключ (таблица 3.26).

Таблица 3.26. Действие REDIRECT

Ключ	Пример	Описание
--to-ports	iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080	Ключ --to-ports определяет порт или диапазон портов назначения. Без указания ключа --to-ports, перенаправления не происходит, то есть пакет идет на тот порт, куда и был назначен. В примере, приведенном выше, --to-ports 8080 указан один порт назначения. Если нужно указать диапазон портов, то мы должны написать нечто подобное --to-ports 8080-8090. Этот ключ можно использовать только в правилах, где критерий содержит явное указание на протокол TCP или UDP с помощью ключа --protocol.

Дата добавления: 2014-01-15