如何在 NAT 主機設定 iptables 導向內網主機。

設定方式一：在 NAT 主機設定將 80,443 port 導向內網主機 IP 10.1.1.130
[code]
iptables -I FORWARD 1 -j ACCEPT
iptables -t nat -I PREROUTING 1 -p tcp --dport 80 -j DNAT --to-destination 10.1.1.130:80
iptables -t nat -I PREROUTING 1 -p tcp --dport 443 -j DNAT --to-destination 10.1.1.130:443
[/code]
注意，假設 NAT 主機的內網 IP 為 10.1.1.2 則 .130 主機的 default gateway 必須指向為 .2 的 NAT 主機。

在 .130 設定 default gateway IP 10.1.1.2
[code]
route add default gw 10.1.1.2
[/code]

說明：
[ol]
[*]這個方式在 .130 的 httpd log 記錄的 remote ip 為 client 端的實際 IP，在 PHP 可以使用 $_SERVER["HTTP_X_FORWARDED_FOR"] 取得。
[*]如果要封鎖某個 client IP 可以直接在 .130 下 iptables DROP 指令封鎖。
[code]
iptables -I INPUT 1 -j DROP -s xxx.xxx.xxx.xxx/32
或
ipset add DropIP xxx.xxx.xxx.xxx
ipset add DropNet xxx.xxx.xxx.xxx/24
[/code]
[*]因為主機 .130 將 default gateway 指向 .2 會導致 .130 對外讀取所有 http,https 的連線都會導向回自己 .130。
[/ol]

設定方式二：在 NAT 主機設定將 80,443 port 導向內網主機 IP 10.1.1.130
[code]
iptables -I FORWARD 1 -j ACCEPT
iptables -t nat -I PREROUTING 1 -p tcp --dport 80 -j DNAT --to-destination 10.1.1.130:80
iptables -t nat -I PREROUTING 1 -p tcp --dport 443 -j DNAT --to-destination 10.1.1.130:443
iptables -t nat -I POSTROUTING 1 -p tcp -d 10.1.1.130 --dport 80 -j SNAT --to-source 10.1.1.2
iptables -t nat -I POSTROUTING 1 -p tcp -d 10.1.1.130 --dport 443 -j SNAT --to-source 10.1.1.2
[/code]
說明，這個方式加上 POSTROUTING 會改寫封包，因此 .130 的 default gateway 不必指向為 .2 的 NAT 主機，甚至沒有設定 default gateway 也沒有關係。

注意：
[ol]
[*]這個方式在 .130 的 httpd log 記錄的 remote ip 為 NAT 的內網 IP 10.1.1.2 無法得知 client 端的實際 IP。
[*]因為 .130 無法得知 client 端 IP，所以無法在 .130 封鎖惡意的 client IP，必須在 .2 才能封鎖。
[/ol]