iptables с localhost до lan

ты про разницу -j REDIRECT и -j DNAT?

разве REDIRECT не в пределах хоста только работает?

DNAT да почему то у меня с локалхоста на сервер в локалке не перекидывает

похоже нашел

PREROUTING isn’t used by the loopback interface, you need to also add an OUTPUT rule

https://serverfault.com/questions/211536/iptables-port-redirect-not-working-for-localhost

что то не хотит все равно

iptables -t nat -A OUTPUT -d 127.0.0.1/32 -o lo -p tcp -m tcp -m multiport --dports 1111,2222 -m comment --comment tunnel -j DNAT --to-destination 192.168.x.x

sysctl -w net.ipv4.conf.all.route_localnet=1

Если я правильно понял, у тебя галиматья написана.

iptables -t nat -A PREROUTING -i lo -p tcp -m tcp -m multiport --dports 1111,2222 -m comment --comment tunnel -j DNAT --to-destination 192.168.x.x

UPD.

Проверил, все не так. Тебе, видимо, просто SNAT не хватает, а так все верно вроде бы.

таблес это съел, но работать все равно не начало

тебе надо SNAT добавь, то что я написал - удали, я тупанул. iptables -t nat -A POSTROUTING -o {192.168.x.x_INTERFACE} -j SNAT --to-source {YOUR_LOCAL_192.168.x.x}

Ибо твой 192.168.x.x понятия не имеет о 127.0.0.1, который сгенерил запрос )

извините, не понимаю зачем SNAT нужен, мне нужно чтобы пакеты идущие на локалхост ушли на сервер в локальной сети, а не менялся источник пакетов

пакеты все однозначно приходят на интерфейс lo, но там на шлюзе никто их не слушает, их слушают по другому ip на этих же портах

возможно разрешение в FORWARD не хватает с lo на внутренний интерфейс…

Извиняю, у тебя на сервер летит пакет с источником 127.0.0.1 -> 192.168.x.x Куда ответ последует? Просто сделай.

Тебе надо из пакета

127.0.0.1 => 127.0.0.1:1111 надо сделать 192.168.х.х => 192.168.x.x:1111

это dnat+snat

это вместе с моим правилом нужно ваше добавить? или одно ваше? если только последнее, то ничего такой трафик само по себе не создает 127.0.0.1 -> 192.168.x.x

это dnat+snat

спасибо, проверяю

Я уже проверил, потому и написал что тупанул. Думал о транзите, а у тебя ж локальная генерация.

Можно средствами ssh указать адрес проброса, не помню только как,
на подобии ssh ssh@www.net -p 22 -ключXYLтипа 127.0.0.1:2222:192.168.x.x:2222
А потом во втором терминале ssh ssh@127.0.0.1 -p 2222 подключиться уже к 192.168.x.x через www.net

Непонятно ничего, объясните для тех кому, ехать, а не шашечки.

спасибо, действительно вашего второго правила не хватало

нет у меня никаких терминалов, бинарник запускает тунель и подключение к сервису в 2х потоках, просто сервер за шлюзом оказался