Клуб любителей ASPLinux

Автор: CHPOKS Дата: 23.02.2010 19:46 Изучаю iptables, нужен совет.
eth0 - внешний интерфейс.
eth1 - внутренний.

Сейчас закрты все порты на всех интерфейсах кроме 22-го на внешней.
Можно сдлать дополнитеьную зашиту, например открыть 22 порт во внутренней сети, а на внешней открыть к примеру 5222. И сделать редерект 5222 порта на внутрениий 22.
Ну 22 понятно, что SSH, а так открыт 5222 на котором нет никакой слыжбы.
Вопрос 1. Идея верная?

Вопрос второй, как реализовать это? Правильно ли я понял, что пернаправдение портов тут будет такое - же, как и при перенаправлении портов с внешней сетевой карты сервера на сетевую карту клиентской машины?
т.е. так:
1. в таблице filter
я открываю порт 5222 на внешней и 22 на внутреней.
-A INPUT -i eth0 -p tcp -m tcp --dport 5222 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
2. в таблице *nat
я прописываю построутинг и прероутинг.
-I PREROUTING -d eth0 -p tcp --dport 5222 -J DNAT --to-destination eth1:22
-i POSTROUTING -s eth1 -o eth0 -p tcp -j SNAT --to-source eth1:5222
Проверьте пожалуйсто синтаксис, ато по синтаксису толкового описания нет поменял как смог.
или может не так?
заранее спасибо!

[root@localhost sysconfig]# iptables -I PREROUTING -d eth0 -p tcp --dport 5222 -j DNAT --to-destination eth1:22
iptables v1.3.8: Bad IP address `eth1'
Try `iptables -h' or 'iptables --help' for more information.
[root@localhost sysconfig]# iptables -I PREROUTING -d 192.168.10.222 -p tcp --dport 5222 -j DNAT --to-destination 192.168.5.222:22
iptables: No chain/target/match by that name