Я в iptable hell

Question

Так что я относительно новичок в iptable маршрутизации, но то, что я пытаюсь сделать, должно быть легко.

Я пытаюсь направить трафик с определенного IP-блока, я использую программу, называемую inetsim, и то, что она делает, использует IP-адрес в качестве адреса связывания и станет похожей на маршрутизатор. Я использую 192.168.444.1 в качестве моего шлюза и DNS-сервера в инструкциях по настройке. Есть варианты в нижней части, чтобы использовать для маршрутизации, но они еще должны быть дружественными. У меня есть 2 eth порта, называемые eth0 и eth1, IP-адреса на них 10.10.10.123 и 192.168.444.1 соответственно. У меня есть сервер отчетов 10.10.10.250.

Машины следующим образом сервер

Сервер отчетов 192.168.444.2 windows7sp1 192.168.444.1 + 10.10.10.123 Debian есть программа, которая устанавливает соединение с целевой машины к серверу отчетов. В нормальных условиях это будет работать без заминки, однако inetsim - это интернет-черная дыра, которая создает iptables, которые маршрутизируют весь трафик на fakenet, включая неизвестные службы, они направляются в фиктивный порт 1.

Мне нужен способ пересылка пакета, предназначенного для 10.10.10.250:48002, из 192.168.444.2 [подключена к 192.168.444.1] до 10.10.10.123 [если нет более простого способа сделать это]. Я пробовал snat и dnat, но похоже, что он искажает пакеты там, где они выходят по-другому, поскольку сервер отклоняет пакеты, которые он получает. Аппарат Windows заявляет, что он имеет и установил соединение, но, как я сказал, с помощью проверки пакетов, похоже, это не похоже на эти пакеты.

Способ, которым я хотел бы, чтобы это было сделано, было бы не изменять фактический пакет вообще или, по крайней мере, как можно меньше. Если вам нужны мои правила для iptables, которые я создал, или правила, которые выводят inetsim, я могу опубликовать их.

Любая помощь приветствуется. Спасибо вам, ребята!

[EDIT: Я уже пробовал много разных правил, я не просто спрашиваю, потому что я хочу, чтобы кто-то другой сделал это для меня. Я делал это в течение нескольких недель и работал один раз. Затем я попытался воспроизвести его и что-то сломалось.]

Answer 1

Если все задействованные хосты имеют IP-адрес Debian в своем сегменте в качестве маршрута по умолчанию, вам не нужно вообще никаких iptables, просто активируйте net.ipv4.ip_forward в/etc/sysctl.conf, и если вам нужно активировать iptables, убедитесь, что политика по умолчанию для таблицы FORWARD ACCEPT.

Если только 192.168.444.2 машина имеет .1 IP в качестве маршрута, но сервер отчетов не (вы будете видеть связи в сервере отчетов организации очередей, как SYN_RECV), вы будете нуждаться в цели MASQUERADE:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 

Answer 2

Я осмотрел pastebin link, и кажется, что эти правила вызывают проблемы:

-A PREROUTING -j INetSim_DNAT_12257 
-A POSTROUTING -j INetSim_SNAT_12257 
-A INetSim_DNAT_12257 -s 192.168.444.4/32 -d 10.10.10.250/32 -p tcp -m tcp --dport 48002 -j DNAT --to-destination 192.168.444.4:48002 
-A INetSim_SNAT_12257 -s 192.168.444.4/32 -d 192.168.444.4/32 -p tcp -m tcp --dport 48002 -j SNAT --to-source 10.10.10.125 

Можете ли вы удалить их и связанные с ними цепи и посмотреть, если проблема решена?

EDIT: Я заметил еще одно правило, которое может быть проблематичным. Пожалуйста, удалите его и повторите попытку:

-A INetSim_12257 -s 192.168.444.4/32 -d 10.10.10.250/32 -p tcp -m tcp --dport 48002 -j MARK --set-xmark 0x1/0xffffffff