Проброс порта внутри сети

-A PREROUTING -i ppp0 -p tcp --dport 15000 -j DNAT --to-destination 192.168.1.11:80

-o, --out-interface name
              Name of an interface via which a packet is going to be sent (for packets entering the FORWARD, OUTPUT and POSTROUTING chains).  When the "!" argument is used before the interface name, the
              sense is inverted.  If the interface name ends in a "+", then any interface which begins with this name will match.  If this option is omitted, any interface name will match.

Сам переделать сможешь ?

Скорее всего нет.
Потому что, я не могу понять куда и откуда пакет должен идти. Я программист и не сильно углубленно разбираюсь в сетях, не мое немного, но задачу решить нужно.
Можете мне объяснить путь пакета при реализации двух задач доступ к локальной машине через проброс порта из вне и из локальной сети?
eth0 - смотрит на провайдера
eth1 - смотрит в локалку с ip 192.168.1.1
ppp0 - инет

-A PREROUTING -i eth1 -o eth1 -p tcp --dport 15000 -j DNAT --to-destination 192.168.1.11:80

Вот так пройдёт ?

iptables-restore v1.4.8: Can't use -o with PREROUTING

Значит нужно другое решение=) Я пробовал вот так

-A PREROUTING -i eth1 -p tcp --dport 15000 -j DNAT --to-destination 192.168.1.11:80

Думаю тут надо обязательно добавить правило:

iptables -A FORWARD -i eth1 -o eth1 -j ACCEPT

я не оч понимаю чего ты хочешь добиться. Тебе надо чтобы 80 порт был доступен на ppp0 и при этом пробрасывался на 192.168.1.11:80?

Или ты хочешь чтобы запрос к шлюзу на eth1 перенаправлялся на 192.168.1.11:80?

если внутри локалки, то:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to <IP ТВОЕГО ШЛЮЗА>:80
iptables -t nat -A POSTROUTING -p tcp -d <IP ТВОЕГО ШЛЮЗА> --dport 80 -j SNAT --to-source 192.168.1.11

на эту же тему: iptables PREROUTING

потрясная картинка для понимания iptables http://blog.frolov.at/wp-content/uploads/2010/10/packet_flow9.png

объясни что мешает машинам из твоей сети обращаться к твоему сайту напрямую? почему они должны для этого идти через шлюз??

в этом нет абсолютно никакой логики, если же есть, поясните.

есть другое распространенное решение, когда нет своего локального днс и клиенты не знают, что ресурс расположен в ихней сети, тогда они ходят по внешнему адресу своего шлюза, которым им возвращает днс. ваш случай? если да то в цепочке нат с адресом назначения внешнего адреса вашего роутера надо сделать прероутинг на локальном интерфейсе с днатом на вашу машину и сделать построутинг с адресом назначения вашей машины с снатом локального адреса роутера, возможно потребуется аналогичное прероутингу правило, только аутпут.

Acceptor, спасибо. Многое прояснилось но не до конца.
Задача нарисована http://i.piccy.info/i7/34328d2b40ba8e16b78172ef64d831a2/4-57-1028/16197393/Bez_ymeny_1.jpg
Под клиентами указано по каким адресам они должны иметь доступ.

Да, вы правы. Задача не совсем логична.Но это нужно для того, чтобы не светить ip адрес машины с вебсервером так как сервер одного из клиентов и доступ разрешается на время разработки проекта. После проброс порта будет удален и никто ничего не знает. А так придется потом на клиентской машине лепить какие-то костыли для запрета доступа...не хорошо.

Вроде, понял, тогда записи в iptables должны быть следующие:

# проброс по локалке
iptables -A FORWARD -i eth1 -o eth1 -j ACCEPT
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 15000 -j DNAT --to 192.168.1.1:80
iptables -t nat -A POSTROUTING -p tcp -d 192.168.1.1 --dport 80 -j SNAT --to-source 192.168.1.11
# проброс извне
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 15000 -j DNAT --to-destination 192.168.1.11:80
iptables -A FORWARD -p tcp -i ppp0 --dport 80 -d 192.168.1.11 -j ACCEPT

проверь.

еще вариант:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 15000 -j DNAT --to 192.168.1.11:80
iptables -t nat -A POSTROUTING -o eth1 -p tcp -d 192.168.1.11 --dport 80 -j SNAT --to-source 192.168.1.1

а порт то зачем подделывать? ))) это ж уже лишнее )

если только не надо светить ip адрес машины то и не надо его никому давать и знать.

Пусть пользователи знают только внешний ip с нужным портом и пользуются им.

В руководстве по iptables такая задачка разжована.