Comment puis-je rediriger les ports avec iptables ?

La solution acceptée fonctionne lorsque l'hôte de destination et la passerelle sont sur le même sous-réseau (comme c'est le cas ici, tous deux sont sur eth0 192.168.1.0/24).

Voici une solution générique pour quand la passerelle, la source et la destination sont tous sur des sous-réseaux différents.

1) Activer l'acheminement IP :

sysctl net.ipv4.conf.eth0.forwarding=1 
sysctl net.ipv6.conf.eth0.forwarding=1 

_{//note: si l'acheminement vers/depuis <code>localhost</code>, définir également <code>sysctl net.ipv4.conf.eth0.route_localnet=1</code>}

2) Ajouter 2 règles iptables pour transmettre un port TCP spécifique :

Pour réécrire l'IP de destination du paquet (et inversement dans le paquet de réponse) :

iptables -A PREROUTING -t nat -p tcp -i ppp0 --dport 8001 -j DNAT --to-destination 192.168.1.200:8080  

Pour réécrire l'IP de source du paquet vers l'IP de la passerelle (et inversement dans le paquet de réponse) :

iptables -A POSTROUTING -t nat -p tcp -d 192.168.1.200 --dport 8080 -j MASQUERADE

3) Si vous n'avez pas de règle de pare-feu par défaut ACCEPT, autorisez le trafic vers la destination :

iptables -A FORWARD -p tcp -d 192.168.1.200 --dport 8080 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

4) Tester le nouveau configuration. Si cela fonctionne, assurez-vous que les modifications persistent après les redémarrages :

cat < /etc/sysctl.d/99-forwarding.conf
sysctl net.ipv4.conf.eth0.forwarding=1 
sysctl net.ipv6.conf.eth0.forwarding=1 
EOF

iptables-save > /etc/network/iptables.up.rules

echo '#!/bin/sh' > /etc/network/if-pre-up.d/iptables
echo "`which iptables-restore` < /etc/network/iptables.up.rules" >> /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables

Vous oubliez postrouting adresse source SNAT 'ing:

sysctl net.ipv4.ip_forward=1
yours_wan_ip=101.23.3.1
-A PREROUTING  -p tcp -m tcp -d $yours_wan_ip --dport 8001 -j DNAT --to-destination 192.168.1.200:8080

-A FORWARD -m state -p tcp -d 192.168.1.200 --dport 8080 --state NEW,ESTABLISHED,RELATED -j ACCEPT

-A POSTROUTING -t nat -p tcp -m tcp -s 192.168.1.200 --sport 8080 -j SNAT --to-source $yours_wan_ip

Et n'oubliez pas de définir votre pare-feu Linux comme passerelle par défaut sur l'ordinateur avec l'adresse 192.168.1.200.

Je pense que ce que vous voulez est :

iptables -A FORWARD -m state -p tcp -d 192.168.1.200 --dport 8080 --state 
    NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 8001 -j DNAT --to-destination
    192.168.1.200:8080

J'ai créé le script bash suivant pour faire cela sur mon routeur Linux. Il infère automatiquement l'adresse IP WAN et confirme vos sélections avant de procéder.

#!/bin/bash

# décider quelle action utiliser
action="add"
if [[ "-r" == "$1" ]]; then
  action="remove"
  shift
fi

# séparer les composants
dest_addr_lan="$1"
dest_port_wan="$2"
dest_port_lan="$3"

# trouver notre adresse WAN
wan_addr=`curl -4 -s icanhazip.com`

# remplir automatiquement notre port LAN de destination si nécessaire
if [ -z $dest_port_lan ]; then
  dest_port_lan="$dest_port_wan"
fi

# afficher les infos pour vérification
echo "Adresse LAN de destination : $dest_addr_lan"
echo "Port WAN de destination : $dest_port_wan"
echo "Port LAN de destination : $dest_port_lan"
echo "Adresse WAN : $wan_addr"

# confirmer avec l'utilisateur
read -p "Est-ce que tout est correct ? " -n 1 -r
echo    # (optionnel) aller à la ligne suivante
if [[ $REPLY =~ ^[Yy]$ ]]; then
  if [[ "remove" == "$action" ]]; then
    iptables -t nat -D PREROUTING  -p tcp -m tcp -d $wan_addr --dport     $dest_port_wan -j DNAT --to-destination $dest_addr_lan:$dest_port_lan
    iptables -D FORWARD -m state -p tcp -d $dest_addr_lan --dport     $dest_port_lan --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -t nat -D POSTROUTING -p tcp -m tcp -s $dest_addr_lan --sport     $dest_port_lan -j SNAT --to-source $wan_addr
    echo "Règle de redirection supprimée"
  else
    iptables -t nat -A PREROUTING  -p tcp -m tcp -d $wan_addr --dport     $dest_port_wan -j DNAT --to-destination $dest_addr_lan:$dest_port_lan
    iptables -A FORWARD -m state -p tcp -d $dest_addr_lan --dport     $dest_port_lan --state NEW,ESTABLISHED,RELATED -j ACCEPT
    iptables -t nat -A POSTROUTING -p tcp -m tcp -s $dest_addr_lan --sport $dest_port_lan -j SNAT --to-source $wan_addr
    echo "Règle de redirection ajoutée"
  fi
else
  echo "Infos non confirmées, sortie..."
fi

L'utilisation du script est simple, il suffit de le copier et de le coller dans un fichier, puis.

# chmod +x port_forward.sh
# ./port_forward.sh 192.168.1.100 3000
... confirmer les détails ... appuyer sur y
# Règle de redirection ajoutée

Pour supprimer la même règle

# ./port_forward.sh -r 192.168.1.100 3000
... confirmer les détails ... appuyer sur y
# Règle de redirection supprimée

Je pensais que cela pourrait faire gagner du temps à quelqu'un sur leur routeur respectif.