|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : yx 2:5020/400 26 Oct 2001 06:48:34
To : Al Zaharov
Subject : Re: iptables (counters)
--------------------------------------------------------------------------------
Al Zaharov <Al.Zaharov@p88.f58.n5005.z2.fidonet.org> wrote:
>> Сеть 192.168.16.0/24, а роутер смотрит по ppp0 в инет.
>> Может быть дело в том, что все машины проходят через нат ?
>> т.е до запуска скрипта присутсвует еще и маскарад ...
> стоит что? iptables? так вот, в нем совершенно без разницы, есть нат или
> нет, хочешь посчитать\обрезать\запретить - работай через -t filter, при
> этом его (фильтра) совершенно не касается наличие (или отсутствие) любого
> ната, включая маскарад..
>
касается тем что он занимает вполне опрделенное место в ip flow,
если речь идет о транзите, то ip flow в этом случае след.:
chain prerouting (table mangle)
chain prerouting (table nat)
chain forward (table filter)
chain postrouting (table nat)
с чем работать выбирается в зависимости от того как организованно прохождение
транзита через эти цепочки (и далеко не всегда это table filter).
>>>> $IPTABLES -A INPUT -d $NETWORK.$COUNT -j $NETWORK.$COUNT
>>> Это входной трафик вашего рутера напрвленный ИЗВHЕ на ваши хосты.
>> да.
>> Hо вопрос - эти цепочки просматриваются уже после прохождения через nat или
>> до? Я думал, что до ...
> в общем случае перед натом ната (точнее, перед снат'ом), но, повторюсь,
> это не имеет никакого значения..
>
брр, в общем случае так можно запутать кого угодно.
для входного трафа (как и для трафа вовне) nat возможен
и "до" и "после" цепочек из filter table
(исп-ся nat или нет, и как называется, это третий вопрос).
в общем случае "извне" ip flow выглядит примерно так:
<in>
prerouting(nat)
prerouting(mangle)
forward(filter) input(filter)
postrouting(nat) <local/finish>
<out>
и "наружу":
<in>
prerouting(nat) <local/start>
prerouting(mangle) output(mangle)/output(nat)
forward(filter) output(filter)
postrouting(nat)
<out>
p.s. это только примерное ipflow и нек-е пункты могут показаться
что дублируют друг друга, но это не так.))
bye.
--
Vladimir Yakovetsky
--- ifmail v.2.15dev5
* Origin: yx disorganized groupie (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
