Code: Alles auswählen
${ipt} -t nat -A PREROUTING ! -i ${if_ext} -m addrtype --dst-type LOCAL -p tcp --dport 80 -j DNAT --to-destination ${LXC_WEB_IP}:80[!] -i, --in-interface name
Name of an interface via which a packet was received (only for packets entering the INPUT, FORWARD and PREROUTING chains). When the "!" argument is used before the interface name, the sense is inverted. If the interface name ends in a "+", then any interface which begins with this name will match. If this option is omitted, any interface name will match.
Code: Alles auswählen
iptables -N neue_chain1
iptables -N neue_chain2Code: Alles auswählen
iptables -t nat -A PREROUTING -i extif1 -j neue_chain1
iptables -t nat -A PREROUTING -i extif2 -j neue_chain1
iptables -t nat -A PREROUTING -j neue_chain2 Code: Alles auswählen
${ipt} -A neue_chain2 -p tcp --dport 80 -j DNAT --to-destination ${LXC_WEB_IP}:80Code: Alles auswählen
for ext in ${external[@]}; do
${ipt} -t nat -A PREROUTING -i $ext -p tcp --dport 80 -j REJECTED
done
${ipt} -t nat -A PREROUTING -m addrtype --dst-type LOCAL -p tcp --dport 80 -j DNAT --to-destination ${LXC_WEB_IP}:80
Nein, es werden keine Pakete oder sonst was von irgendwo nach irgendwo verschoben. Stell Dir das Regelwerk (also alle Regeln) der Tabelle Filter als lange Kette vor, die oben mit der ersten Regel angefangen sequentiell alle Regeln nacheinander bis zur letzten abarbeitet. Diese Kette wird unterbrochen und beendet, wenn eine Regel ein abschließendes Urteil "fällt", also z.B. DROP oder ACCEPT oder REJECT. Das passiert dann, wenn die Match-Bedingungen der Regel mit den Merkmalen des TCP-Paketes übereinstimmen. Wenn keine der Regeln wg. der Match-Bedingungen passt, greift ganz am Ende die Default-Policy, normalerweise mit ACCEPT.frankw hat geschrieben:01.03.2019 19:51:12wenn ich das jetzt richtig verstehe, werden externe Pakete in die externe chain verschoben und nach Abarbeitung dieser (return) zusammen mit den Paketen von den internen Schnittstellen in die interne liste geschoben.
Das sieht gut aus. Einfach, übersichtlich und macht das, was du willst. Ich finde einfach immer besser. Wenn man mit zusätzlichen Chains arbeitet und zusätzliche, unnötige Komplexität einbaut, entsteht die Gefahr von Fehlern, die dann auch noch schwer zu beheben sind. Wenn es ohne geht also um so besser ...frankw hat geschrieben:01.03.2019 19:51:12Rejected ist mein Drop-Ersatz, wo zusätzlich ein tcp-reset geschickt wird (damit ein Client nicht ewig hängt während er auf Antwort wartet).Code: Alles auswählen
for ext in ${external[@]}; do ${ipt} -t nat -A PREROUTING -i $ext -p tcp --dport 80 -j REJECTED done ${ipt} -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination ${LXC_WEB_IP}:80
