iptablesでポートフォアワードがうまくいかない。

質問

お世話になります。下記の通りiptablesでフィルターとNATの定義をしました。
しかし、内部からネットへの接続は可能ですが、外部からWebサーバーにあるＨＰが見れない指摘を受け、その原因を調べています。
不備な点、ご指導賜りたく存じます。

eth0:1.2.3.4
----------
|　Linux　|
-----------
eth1:192.168.0.101
　　|
websever:192.168.0.100
cla:192.168.0.102～

modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -o lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -i eth1 -s 192.168.0.0/24 -j ACCEPT
iptables -A OUTPUT -o eth1 -d 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -d 1.2.3.4 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -s 1.2.3.4 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -d 1.2.3.4 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -s 1.2.3.4 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp -d 1.2.3.4 -i eth0 --dport 80 -j DNAT --to 192.168.0.100:80
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.0.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4
iptables -t nat -A POSTROUTING -s 192.168.0.102/32 -o eth0 -j MASQUERADE

回答No.2

xjd

最初に、forwardをDROPしていて内側から外側へのforwardのみ許可しています。
外側からLAN上のサーバへのforwardが定義されていないようです。

お礼

回答を頂いてから相当な時間が経過しました。
あれから、いろいろな定義をしましたが、いづれも上手く行かず結局のところ、別個にファイヤーウォール（ルーター）を入れ定義し完成しました。
どうも、ありがとうございました。

回答No.1

xjd

気になるところはたくさんありますが、とりあえず

外部からのフォーワードができていないようです。

お礼

何度となく回答をしていただき真にありがとうございます。
具体的には、INPUT.OUTPUTの他、どのようなチェインを張れば良いのか教えてもらえないでしょうか？