Перенаправление пакетов с помощью iptables

Читайте документацию по ключам. В вашем случае надо всё оставить, заменив лишь "-A PREROUTING" на "-D PREROUTING".

Лучше держать правила iptables в скрипте, а для применения правил запускать скрипт на выполнение. Тогда все изменения можно отменить командой iptables --flush, а отменить произвольное правило в цепочке просто удалением/комментированием строки из скрипта, fllush'ем и перезапуском скрипта

месье знает толк в извращениях

Что не так? А в каком виде на аппаратных роутерах правила файрвола хранятся?

pianolender> Что не так?

Чтобы снять носок не надо снимать штаны, трусы, ... а это именно то что ты предложил.

Я предложил более универсальный способ управлять надетой одеждой. Способ просто снять носок уже был предложен.

pianolender> Я предложил более универсальный способ

В случае файервола он не нужен, т.к. в момент смены одного правила ты остаешься с голой жопой.

И правда.. Сразу видно, не файрволил я приличную сеть. Ну да хоть для отладки сгодится.

На пару секунд это имхо не страшно, параною попридержите ;)

А случае иптейблс в при изменении набора правил происходит полная перезагрузка всего листа в любом случае (то есть даже если просто добавлять правило).

blind_oracle> На пару секунд это имхо не страшно,

За пару секунд можно 20Мбайт по 100Мбит сети перелить ...

Не распарсил

У меня подсчет трафика, как минимум 1 000 правил (скорее в двое больше, не считал), перегружается меньше секунды. Как раньше говорил, создал свой скрипт, и в RH поломал /etc/init.d/iptables, чтоб при старте грузил мой скрипт. Самое интересное, что NATы при рестарте не рвутся.

Если политика на цепочки стоит DROP, как и должно быть, то сначала в скрипте делается флаш цепочек, а потом они заполняются разрешающими правилами, так что в худшем случае определенный траффик не будет ходить вообще пару секунд, для безопасности угрозы не будет.

НАТы хранятся в conntrack в ядре, они к правилам в общем не привязаны я думаю... 1000 правил это уже прилично, я в свое время пробовал 10-15 тысяч правил (блочил атакующих в ДДОС), система сдыхала почти окончательно, так что ввели ipset.