iptables的snat和dnat的问题？

seacon

请问我有一段的外网ip。多绑定在防火墙外网的网卡上。多是属于同一个网段上的ip。我想我的外网ip对应一个内网ip。所以做在PREROUTING和POSTROUTING做了DNAT和SNAT。但我不想内网服务器的端口对外网多是开的。请问是不是在INPUT中进行限制。如果是的话是象
iptables -A INPUT -d  外网地址 -p tcp --dport 21 -j ACCEPT
还是
iptables -A INPUT -d 内网地址 -p tcp --dport 21 -j ACCEPT
INPUT默认规则是DROP

seacon

自己搞定了。但是不明白为什么是写在FORWARD中。包进来后不是先DNAT内网地址吗？那为什么还要经过FORWARD呢？

net1127

你用的是内核2.4的iptables吧!因为你的要控制的包是通过防火墙的包,所以只检查FORWARD,如果是到防火墙机器的包就检查INPUT,出防火墙的包就检查OUTPUT了

seacon

但是我在防火墙上用ifcfg-eth1：0的绑定了外网的地址啊。再dnat和snat。难道用ifcfg-eth1：0的方法就不被看做是防火墙上的ip吗