не работает NAT

Форвардинг пакетов разрешён? echo 1 > /proc/sys/net/ipv4/ip_forward

конечно

Показывай че там нагородил, нат включается одним правилом

# NAT iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o enp2s2 -j SNAT --to-source внешний_провайдерский_ip

# Открываем доступ из интернета к виндовому серваку по RDP
iptables -A PREROUTING -i enp2s2 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.110

В этом правиле ошибка, убери его.

1. можете указать что там не так? просто это правило нужно на будущее. 2. NAT вроде бы описан ДО этого правила.

я вообще-то не был уверен на счёт правил открывающих транзитный трафик

iptables -t nat -A PREROUTING -i enp2s2 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.110

А так, хз, только что выполнил твой скрипт, у меня всё работает, я только вместо DNAT использовать MASQUERADE.

вообще, на шлюзе, у меня в списке правил строка посвящённая виндовому серверу закомментирована

Вместо вместо SNAT использовал MASQUERADE.

iptables -t nat -A PREROUTING -i enp2s2 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.1.110

Не указана таблица.

стоп... у меня в скрипте указан SNAT, а вы пишете DNAT...

разве -t nat не есть указание таблицы?

Ять, я уже исправил, читай внимательно комментарии.

сорри

добавил указание таблицы. Но ведь строка полюбе не исполняется, ибо закомментена... Что ещё м.б.?

-m tcp

Самому стало интересно, не в этом ли ошибка?

Все уже увидел, поторопился с вопросом.

Посмотри, я написал выше:

А так, хз, только что выполнил твой скрипт, у меня всё работает, я только вместо SNAT использовать MASQUERADE.

Почему у тебя не работает - не знаю. Проверял на виртуалке, подключил её через мост и указал шлюзом host систему, интеренет на виртуалке есть, если перегрузить правила без маскарадинга - нет.

Проверяй, что указана правильная подсеть, ну и, возможно, ты так же заблокировал DNS, проверь пингуется ли с клиентов DNS от Google, т.е. 8.8.8.8.

в том то и косяк - нету пингов из локалки. Ни до шлюза, ни, тем более, в мир. ДНСы провайдерские прописаны в /etc/resolv.conf

Как я уже сказал - не знаю, у меня с твоими правилами всё работает.

ip_forward точно включен?

cat /proc/sys/net/ipv4/ip_forward

содержимое /etc/network/interfaces.d

# loopback network interface
auto lo
iface to inet loopback

# Primary network interface
allow-hotplug enp2s2
auto enp2s2
iface enp2s2 inet static
address провайдерский_IP
gateway провайдерский_gateway
netmask 255.255.255.192

# Secondary network interface
allow-hotplug enp2s1
auto enp2s1
iface enp2s1 inet static
address 192.168.1.9
netmask 255.255.255.0
network 192.168.1.0

точно. в этом файле только один символ - единица

Ну, хз, упрости, оставь только строку, разрешающую NAT, и если всё работает, то потом добавляй правила.

пробовал уже - не помогает. Проблема, похоже, именно в этом правиле. А принципиально ли где прописаны ДНСы? В /etc/resolv.conf или в /etc/network/interfaces?

Самого resolvconf на шлюзе не установлено

А принципиально ли где прописаны ДНСы? В /etc/resolv.conf или в /etc/network/interfaces?

Настройки DNS сервера, к которому будут идти запросы в Linux (Unix) системах находятся в файле /etc/resolv.conf, файл /etc/network/interfaces - это частный случай файла настроек сервиса конфигурирования сети, после запуска этого сервиса в соответствие с файлом настроек данные о DNS сервере будут записаны в файл /etc/resolv.conf.

пробовал уже - не помогает.

Если у тебя с одним твоим правилом для NAT ничего не работает, т.е. вывод iptables-save должен быть примерно такой:

# Generated by iptables-save v1.4.21 on Mon Feb  6 10:39:21 2017
*nat
:PREROUTING ACCEPT [12:1021]
:INPUT ACCEPT [8:684]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.1.0/24 -o enp2s2 -j SNAT --to-source внешний_провайдерский_ip
COMMIT
# Completed on Mon Feb  6 10:39:21 2017
# Generated by iptables-save v1.4.21 on Mon Feb  6 10:39:21 2017
*mangle
:PREROUTING ACCEPT [56672:32801227]
:INPUT ACCEPT [55267:32619386]
:FORWARD ACCEPT [20:1849]
:OUTPUT ACCEPT [31112:3468277]
:POSTROUTING ACCEPT [31111:3413173]
COMMIT
# Completed on Mon Feb  6 10:39:21 2017
# Generated by iptables-save v1.4.21 on Mon Feb  6 10:39:21 2017
*filter
:INPUT ACCEPT [54378:32529676]
:FORWARD ACCEPT [9:1217]
:OUTPUT ACCEPT [30597:3297512]
COMMIT
# Completed on Mon Feb  6 10:39:21 2017

Пробуй использовать MASQUERADE.

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

Когда при такой конфигурации на клиентах будет доступ во внешнюю сеть крути дальше.

точно такой вывод у меня и есть... внешний IP - стопудов правильный, потому что сам шлюз в инет ходит и в локалку тоже.

Пробуйте, Шура, с маскарадингом и прочими пустыми правилами.

хех... ушёл пилить... вдруг они в самом деле золотые...

а что у вас для транзитного траф. такое?:

iptables -A FORWARD -i enp2s2 -o enp2s1 -d 192.168.1.0/24 -j ACCEPT

iptables -A FORWARD -i enp2s2 -o enp2s1 -j REJECT

iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

спасибо за замечания. поправлю. попробую. отпишусь

iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT нужно поместить первым правилом в блоке «# Разрешаем все установленные соединения и производные от них»?

я имел ввиду что наверно лучше пусть так будет:

iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

а потом вот это:

iptables -A FORWARD -i enp2s1 -o enp2s2 -s 192.168.1.0/24 -j ACCEPT

и вот это уже устарело

 -m state --state
-m conntrack --ctstate

а чем заменяется устаревшее? А то мож у меня потому и не работает...

написал же чем -m conntrack --ctstate. Но не думаю, что из за этого.

а так ли уж нужен транзит? Не обойдётся разве простым разрешением всего трафика lo и сетевухи, что в локалку смотрит?

и вот это уже устарело

И давно? (я серьезно, ман по этому поводу ничего не говорит)
The «state» extension is a subset of the «conntrack» module. «state» allows access to the connection tracking state for this packet.
что-то типа -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT 100% рабочий вариант

я в «Руководстве по iptables 1.1.19» вычитал.

Так я и написал, что у вас верно написано. Это ving2 сказал что оно устаревшее.

может быть у него есть информация из первоисточников. впрочем не суть, как подмечено выше, работать должно и с устаревшими параметрами.

а я не говорил, что оно не работает. Вот тут к примеру пишут что устарело. http://www.k-max.name/linux/netfilter-iptables-v-linux/

И посмотрите еще conntrack -L, туда в том числе и обращения по локальному адресу попадать должны, например когда пингуете роутер из локалки

iptables ( -m state ) vs (-m conntrack)

Абсолютно не авторитетно. Выше я писал про ман от iptables 1.6.0 который вышел в конце 2015-го года, в нем таких слов нет. А ваша ссылка на статью от 2011го.

Вот это пиште iptables начиная с 1.4.16.

WARNING: The state match is obsolete. Use conntrack instead.

В 1.4.18, чтобы не ломать скрипты, state сделали алиасом для conntrack на уровне команды iptables, на уровне ядра остался только match conntrack. WARNING, вроде бы, потом убрали.

Повторю еще раз The «state» extension is a subset of the «conntrack» module. продолжая копипасту из мана

              Where  state  is a comma separated list of the connection states
              to match. Only a subset of the states unterstood by  "conntrack"
              are recognized: INVALID, ESTABLISHED, NEW, RELATED or UNTRACKED.
              For their description, see the "conntrack" heading in this  man-
              page.

Ну возможно я был не до конца прав. Видимо был момент с WARNING, только явно мимо меня прошел, в смысле перепрыгнул те версии от старых к новым.

эта статья могла правиться автором, так что если она была написана в 2011 г это еще ни о чем ни говорит. Впрочем пусть ТС пишет как хочет.

А вот ещё вопрос, есть у меня другая конторка, где почти такая же ситуёвина (шлюзик, сетка в инет, сетка в локалку) только там фиксированный внешний IP, выданный провайдером, прописан в мозгах радиомодема. И у сетки, которая подключена к модему, IP-адреса быть не должно в принципе. Иначе связь моментом отваливается. Как прописать в правилах такой расклад, чтобы NAT работал?

маскарадинг.