Dotaz: SNAT v iptables - Invalid argument

[dustin]

Mohu poprosit místní guru o radu ohledně SNATu?

Ve finále budu řešit provoz přes dvě internetová připojení současně, ale zatím si testuji na lokální síti. Zasekl jsem se na dle mého pohledu triviální věci:

eth0 má několik adres:

sara:/home/pavel# ip addr show eth0
2: eth0: <BROADCAST,MULTICAST,UP,10000> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:13:20:2f:3e:e3 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.20/24 brd 192.168.1.255 scope global eth0
    inet 192.168.11.1/24 brd 192.168.11.255 scope global eth0
    inet 192.168.12.1/24 brd 192.168.12.255 scope global eth0
    inet6 fe80::213:20ff:fe2f:3ee3/64 scope link 
       valid_lft forever preferred_lft forever

Chci, aby odchozí packety odcházely z adresy 192.168.12.1 (defaultně chodí ze 192.168.1.20).

Zkusím tedy SNAT:

iptables -v -t nat -A OUTPUT -j SNAT --to-source 192.168.12.1
SNAT  0 opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  to:192.168.12.1 
iptables: Invalid argument

V syslogu se objeví:

kernel: ip_tables: SNAT target: bad hook_mask 8

Zřejmě má SNAT nějaká omezení, která jsem však nedokázal vyčíst. Předem díky za radu.

Odpovědi

[Petr Šobáň]

Nemělo by to být nějak takhle ?

/sbin/iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 192.168.12.1

[dustin]

Díky moc, teď jsem se teprve dočetl, že SNAT funguje jenom pro chain POSTROUTING. Škoda, že chybové hlášky iptables jsou tak zbytečně stručné.

Ještě jednou díky za radu, mořil bych se s tím hodiny.

[Michal Kubeček]

1. Zdrojovou adresu nemůžete překládat v chainu OUTPUT, k tomu slouží POSTROUTING.

2. V daném případě by pravděpodobně bylo vhodnější definovat preferovanou zdrojovou adresu u položky směrovací tabulky, např. 'ip route add default via ... src ...'. Ale to by chtělo trochu přesnější popis toho, jak vypadá konfigurace a čeho chcete docílit.

[dustin]

Také díky. Ve finále půjde o dvě linky do netu z jedné gw, přes značkování paketů a doplňkové routovací tabulky. Navíc na gw běží služby dostupné zvenku z obou linek současně. Na jedné se musí forwardovat z ADSL modemu, který neumí vypnout NAT a jehož možnosti konfigurace jsou hodně omezené :( . Druhá linka jede přes bridgovací kabelový modem, tam je to jednodušší. Ještě jednou díky.