коннект с local IP на local IP через NAT

1. DNAT на клиенте, чтобы вместо 192.168.0.1 шел на IP вашего сервера.
2. SNAT на сервере в Internet, чтобы вместо IP вашего провайдерского NAT шел с IP 192.168.0.1.

Всё.

Если программка хитрая, то придется еще в п.2 менять TTL через mangle таблицу.

Да, в п.1 имел ввиду IP вашего Internet-сервера.

>SNAT на сервере в Internet, чтобы вместо IP вашего провайдерского NAT шел с IP 192.168.0.1

Вот тут можно поподробнее? В этом случае несколько клиентов смогут подключиться к одному серверу или нет?

Спасибо за совет, сегодня вечером буду пробовать.

Ssh-туннелинг здесь тоже слишком гемморно? Он просто сделает необходимую переадресацию. Все-таки это не впн :)

iptables -t nat -I POSTROUTING -s IPпровайдера -j SNAT --to-source 192.168.0.1

Проблема видимо в том, что НЕ транзитный пакет, т.е. предназначанный для самого хоста, на котором запущен iptables, не проходит цепочку POSTROUTING таблицы nat. А правило подмены адреса источника (SNAT) работает только в ней. =(( Может есть еще идеи?

Т.е. по сути задача свелась к следующей: как получить функционал аналогичный по смыслу -j SNAT в цеполчке PREROUTING таблицы nat.

может новую ветку создать? =)

Ну что? неужели нет решения? Как-то не логично получается - для другого узла подменять обратный адрес можно, а для себя - нет.

посмотри

http://www.opennet.ru/docs/RUS/iptables/#DNATTARGET

Уже все что только можно и это тоже посмотрел. Везде есть брэндмауэр и какой-то другой сервер. В этом случае все идеально - после цепочки -t nat PREROUTING выполняется FORWARD а потом -t nat POSTROUTING где и делают SNAT.

Но это не работает если и брэндмауэр и сервер это одна машина. В этом случае никакая цепочка POSTROUTING никогда не исполняется, а испоняется INPUT, где правило SNAT выполнять нельзя.

Можно сделать на машине 1 неиспользуемую нигде подсеть, в которую замаршрутизировать пакет :-\

ок, а потом как его ловить?

man iptables, дурень

И вместо "... -t nat -А POSTROUTING где и делают SNAT ..." делай

-t nat -А OUTPUT -j SNAT    и будет тебе счастье

А ты сам то man iptables читал?

OUTPUT (for altering locally-generated packets before routing) с каких это пор пакеты приходящие из инета стали locally-generated??

читаем man iptables дальше:

SNAT This target is only valid in the nat table, in the POSTROUTING chain.

видишь слово OUTPUT? я вот тоже не вижу, зато вижу ONLY.

Признаю, перепутал с DNAT