nat做转发，失败了！

marsaber

其他信息：
/etc/sysconfig/network-scripts/ifcfg-eth0-->192.168.3.233-->Gateway192.168.3.200

/etc/rc.d/rc.local中写入：/root/ipfw，ipfw权限700。
ipfw内容见图。

我在windows客户机的cmd下：
C:\>ftp 192.168.3.233
> ftp: connect :未知错误号
ftp>

marsaber

没打算做什么复杂的设置，只想实现个简单的转发，可是失败了。
请高手指点，谢谢！

marsaber

汗！
怎么沉下去了呀？

xw_xiao

nat转发可不是这样做的吧！

看看精华贴里有没有帮助。

orphen

如果你的3.234主机的默认网关是3.235的话，应该没有问题的。
如果不是，那么还需要在这台机器上做一个POSTROUTING

bigcat00

从脚本里没看到内网FTP服务器的POSTROUTING链与FORWARD链如何设置。

marsaber

这个是修改后的，请帮忙看下。客户端还是不能FTP到服务器（192.168.3.234）。192.168.2.234做nat转发。

#/bin/bash

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

echo "1" > /proc/sys/net/ipv4/ip_forward

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT DROP
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 20 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 21 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
/sbin/iptables -A INPUT -p udp --sport 53 -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport 53 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 139 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 445 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -d 192.168.2.234 -p tcp --dport 21 -j DNAT --to 192.168.3.234:21
/sbin/iptables -t nat -A POSTROUTING -s 192.168.3.234 -j SNAT --to 192.168.2.234

xw_xiao

sorry，昨天没有注意看图，还以为是win登录的抓图呢！

把nat的两句增加接口方向看看。
/sbin/iptables -t nat -A PREROUTING -i eth0 -d 192.168.2.234 -p tcp --dport 21 -j DNAT --to 192.168.3.234:21
/sbin/iptables -t nat -A POSTROUTING -o eth0 -s 192.168.3.234 -j SNAT --to 192.168.2.234

bigcat00

1. /sbin/iptables -t nat -A PREROUTING -d 192.168.2.234 -p tcp --dport 21 -j DNAT --to 192.168.3.234:21
2. /sbin/iptables -t nat -A POSTROUTING -s 192.168.3.234 -j SNAT --to 192.168.2.234

复制代码

我觉得这两句都有问题。
1、iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to 192.168.3.234
2、iptables -t nat -A POSTROUTING -s 192.168.3.234 -j MASQUERADE（因为不晓得网关的外网地址，所以用MASQ，若是知道，则SNAT到外网IP，而不是内网）

试试吧。

marsaber

我仔细看了下，netstat -nlp发现192.168.2.234的21端口没有处于监听状态。
怎么开启21端口使之处于监听状态？