Re: [ml] iptables overlap ?

Cherubini Enrico ha scritto:

> iptables -t nat -A POSTROUTING -o $IFACE0 -s 10.1.1.10 -j SNAT --to
> $xxx.xxx.xxx.xxx
> iptables -t nat -A POSTROUTING -o $IFACE0 -j SNAT --to yyy.yyy.yyy.yyy

Le regole sono corrette, perciò, se il pacchetto viene da 10.1.1.10, 
dovrebbe essere nattato con xxx.xxx.xxx.xxx.

> a) c'e' modo per far si' che dopo avere analizzato la prima regola, si
> smetta di scorrere l'elenco delle regole di iptables ?

Questo è il comportamento di default di iptables: se un pacchetto 
corrisponde a una data regola, si salta al target specificato e 
l'elaborazione si interrompe (unica eccezione, che io sappia, è il 
target LOG).
La prima verifica da fare è un "iptables -L -n -v -t nat" sul firewall e 
controllare che l'ordine delle regole in POSTROUTING sia effettivamente 
quello: se per errore sono invertite l'effetto è esattamente quello che 
descrivi.
Altrimenti, il problema potrebbe essere sulla macchina che origina il 
pacchetto: verifica che l'indirizzo sorgente sia effettivamente 
10.1.1.10, magari c'è qualcosa che lo modifica prima che arrivi al firewall.

--
Romano Romano

There are only 10 types of people in this world:
those who understand binary and those who don't.