В чем косяк NAT

iptables -t nat -A POSTROUTING -s 88.888.888.8/24 -d 192.168.70.0/24 -j MASQUERADE 

Интернеты ходят в локалку?

iptables -t nat -A POSTROUTING -s 192.168.70.0/24 -j MASQUERADE

Так,я запутался немного,вот здесь вот эту тему курю)
http://www.opennet.ru/docs/RUS/iptables/#TERMSUSED
Разве
-s -это источник
-d -это получатель,верно?

Нет, Kuzz тебе правильно написал.

Да,спасибо) Я просто хочу разобраться)
Тогда -s и -d -что это?

iptables -t nat -A POSTROUTING -s 192.168.70.0/24 -j MASQUERADE
т.е происходит подмена адресса,если пакет поступает из источника 192.168.70.0/24 ?
При включенном форвардинеге,как обязательное условие?
Верно?

-s - источник, да.

Получается, что:

-s 192.168.70.0/24 -j MASQUERADE

iptables -t nat -A POSTROUTING -s 192.168.70.0/24 -j MASQUERADE т.е происходит подмена адресса,если пакет поступает из источника 192.168.70.0/24 ?

Да. Правило в iptables состоит из критериев и действия. Конкретно это правило нужно читать так:

В таблицу nat (в которой происходит трансляция адресов) добавить в конец (-A) правило в POSTROUTING (порядок прохождения пакета можно нагуглить в виде диаграмы): для всех пакетов, источник (-s) которых 192.168.70.0/24, применить действие MASQUERADE.

Подробнее тут: http://ru.wikibooks.org/wiki/Iptables

Спасибо огромное! C iptables начал знакомство,потихоньку раскуриваю)

Отличный линк! Всем спасибо за помощь) Пойду раскуривать)

DNAT и SNAT могут сбить с толку)

DNAT: пакет идет извне к нам, но адресом указан внешний интерфейс шлюза. Следовательно меняем адрес получателя и пересылаем во внутреннюю сеть.

SNAT: мы шлем пакет, но адрес источника там - наш внутренний. Меняем его и пересылаем дальше

При включенном форвардинеге,как обязательное условие?

Форвардинг, который net.ipv4.ip_forward работает немного на другом уровне. Этот параметер определяет возможность маршрутизации пакетов ядром. Даже если он выключен, iptables будет обрабатывать подобные правила, но толку от этого не будет :)

Отличный линк!

Насколько я помню, это руководство написал лоровец nnz

Что пишу не так?

Всё.

iptables -A POSTROUTING -t nat -o eth0 -s ! 88.88.88.88 -j MASQUERADE
iptables -I FORWARD 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i eth1 -o eth0 -j ACCEPT

И, кстати, если внешний IP статический, то маскарадинг на фиг не нужен. Лучше SNAT/DNAT.

И подытоживая, что нужно сделать:
1) разрешить ядру форвардинг (net.ipv4.ip_forward=1)
2) добавить разрешения в цепочку FORWARD
3) устроить «маскарад» в цепочке POSTROUTING

Второй пункт, как заметили, ты скорей всего не сделал.
Вообще, лучше сразу все настройки iptables сюда кидай - поразбираемся.