ip в логах apache через iptables nat

Из-за чего было введено второе правило? Из-за того, что роутер не является дефолтным шлюзом? Или с целью обеспечения проброса для машин в вашей локалке? Во втором случае достаточно в SNAT-правило добавить «-s адрес_локалки/маска», и тогда подмена исходного адреса будет происходить только для обращений из локалки.

Еще один вариант — использование nginx в качестве фронтенда + правильная настройка апача.

Достаточно должно быть только dnat правила, для проброса snat излишен в большинстве случаев (если только не очень хитрая схема, хотя всё равно излишен.

SNAT нужен как минмум в двух случаях.

Первый: если на проброшенный порт будут стучаться хосты из той же локалки, то веб-сервер ответит непосредственно им, а они будут ждать ответа от роутера, и в результате коннекты будут вылетать по таймауту.

Второй: роутер, осуществляющий проброс, не является шлюзом для соответствующего трафика. Тогда веб-сервер будет отвечать через свой шлюз (а не через наш роутер), и тогда уже все клиенты окажутся в пролете.

Ну я и говорю, в большинстве случаев.

По личному опыту: в большинстве случаев как раз прибегают юзера из локалки и начинают плакаться, что «картинки нигрузяццо».

Впрочем, я предпочитаю подобные проблемы решать через named's views, что позволяет заодно разгрузить несчастный роутер. Пусть напрямую на локальный сервак лезут.

4nnz спасибо! все работает!

второе правило, чтоб по virtualhost'ы работали внутри локалки. только сейчас понял, что надо dns использовать. причем совместно с этим правилом.