Przekierowanie portu iptables nie działa dla localhost

Chcę przekierować cały ruch z portu 443 na port wewnętrzny 8080. Korzystam z tej konfiguracji dla iptables:

iptables -t nat -I PREROUTING --source 0/0 --destination 0/0 -p tcp \
         --dport 443 -j REDIRECT --to-ports 8080

Działa to dla wszystkich klientów zewnętrznych. Ale jeśli próbuję uzyskać dostęp do portu 443 z tej samej maszyny, otrzymam błąd odmowy połączenia.

wget https://localhost

Jak mogę rozszerzyć regułę iptables, aby przekierowywać również ruch lokalny?

PREROUTING nie jest używany przez interfejs pętli zwrotnej, musisz również dodać regułę OUTPUT:

iptables -t nat -I PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8080
iptables -t nat -I OUTPUT -p tcp -o lo --dport 443 -j REDIRECT --to-ports 8080

Aby przekierować pakiety z hosta lokalnego na inny komputer, reguła:

 iptables -t nat -A OUTPUT -o lo -d 127.0.0.1 -p tcp --dport 443 -j DNAT  --to-destination 10.x.y.z:port

będzie działać, ALE musisz także włączyć tę opcję w jądrze:

sysctl -w net.ipv4.conf.all.route_localnet=1

Bez tego ustawienia jądra nie będzie działać.

Co powiesz na to?

iptables -t nat -A WYJŚCIE -d 127.0.0.1 -p tcp --port 443 -j REDIRECT - na port 8080

Powiedziałeś, że otrzymujesz błąd odmowy połączenia . Oznacza to, że nie ma lokalnego procesu nasłuchującego na porcie, z którym próbujesz się połączyć! Aby sprawdzić procesy nasłuchiwania, użyj polecenia:

$ sudo netstat -lnp | grep 8080

Po zastosowaniu reguły powinieneś mieć proces nasłuchujący na porcie 8080, aby się połączyć.

Wydaje się, że zamiast tego powinieneś mieć następującą zasadę:

$ iptables -t nat -I OUTPUT --source 0/0 --destination 0/0 -p tcp
                                       --dport 443 -j REDIRECT --to-ports 8080

Pamiętaj, że wysyłasz z lokalnego hosta. Musisz przekierować pakiet wyjściowy.