iptables的网卡固定ip/mac的nat问题求救

wheel

iptables问题求救

iptables的执行脚本如下
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 >/proc/sys/net/ipv4/conf/eth1/proxy_arp
echo 1 >/proc/sys/net/ipv4/conf/eth0/proxy_arp
iptables -t nat -A POSTROUTING -s 192.168.1.0 -j SNAT --to-source 200.200.199.0
我要把 192.168.1.0的nat到200.200.199.0网段
iptables -I INPUT -p tcp -m mac --mac-source 00:0D:87:4B:FA:B1 -j ACCEPT
并且只有00:0D:87:4B:FA:B1可以nat可是配好后ping 200.200.199.2是可以的。可是ssh不可以请问如何改
这台就是2网卡eth0/1两卡的ip是192.168.1.1和200.200.199.1

wheel

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
用这句ssh能通不过mac没法过滤

orphen

echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 >/proc/sys/net/ipv4/conf/eth1/proxy_arp
echo 1 >/proc/sys/net/ipv4/conf/eth0/proxy_arp
iptables -A FORWARD -p tcp -m mac --mac-source 00:0D:87:4B:FA:B1 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.1/24 -j SNAT --to-source 200.200.199.1

wheel

你是说-s是做nat的机器的eth0的ip吗？那 --to-source就是eth1的ip了？

orphen

-s控制来源数据报的IP范围，你原来写的192.168.1.0表示192.168.1.1-192.168.1.254这个网络，用192.168.1.1/24来表示比较合适。
同理，200.200.199.0是200.200.199.1-200.200.199.254的网络地址，应该--to-source到具体的外网IP

1ball

我看关键在ACCEPT在FORWARD链里，而不是INPUT