利用 iptables 的 NAT 进行的端口转发突然失效

[caizixian]

一台Ubuntu Server 12.04 x86

原先利用iptables的NAT把8080转发到本机的80，把8888转发到22(不要问为什么)。

iptables -t nat -I PREROUTING -p tcp --dport 8888 -j REDIRECT --to-ports 22
iptables -t nat -I PREROUTING -p udp --dport 8888 -j REDIRECT --to-ports 22
iptables -t nat -I PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80
iptables -t nat -I PREROUTING -p udp --dport 8080 -j REDIRECT --to-ports 80


结果今天在别处通过8888接不上SSH了，但是通过8080还是可以访问到上面跑着的Apache。

于是直接跑到服务器那里，物理登录，发现ssh 127.0.0.1可以连接，而ssh 127.0.0.1:8888无法连接。

感觉特别奇怪。因为已经正常工作了2年了。通过iptables -L -t nat发现规则依然存在。ufw status发现也都allow那些端口了(连127.0.0.1都连不上应该跟Firewall没关系)。netstat看了，端口没有被别的程序占用。

这究竟是什么情况，求支招。

[ForgotFun]

1."结果今天在别处通过8888接不上SSH了"的问题,其实应该是你网络封锁了对应的端口或者ssh协议.

2.ssh 127.0.0.1:8888 当然是不能访问的,你上面的规则只是针对通过NAT的流量. REDIRECT 本质上一个DNAT规则. 所以你这样就理解为啥127.0.0.1:8888 不能访问.

[ryd994]

连不上是reset还是timeout？
你sshd还健在么？

[extreme]

你的规则是针对入路由的数据包的，很明显127.0.0.1不会经过预路由。
只有外部到你的主机的数据包才会经过预路由的链。
针对内部的NAT规则，应该插入到OUTPUT链中。

[caizixian]

问题已经解决

@ForgotFun
@extreme 正解

@ryd994 当时22可以连上