Jak mogę przekierować ruch wychodzący na port 80, używając lokalnie iptables?

Próbuję lokalnie przekierować porty na moim komputerze Ubuntu przy użyciu iptables. Podobne do przezroczystego proxy. Chcę złapać wszystko, co próbuje zostawić mój system na porcie 80 i przekierować go do zdalnego hosta i portu.

Czy mogę to osiągnąć za pomocą funkcji NAT i funkcji routingu wstępnego iptables?

Wypróbuj tę iptableszasadę:

$ sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination IP:80

Powyższe mówi:

• Dodaj następującą regułę do tabeli NAT ( -t nat).
• Ta reguła zostanie dołączona ( -A) do ruchu wychodzącego ( OUTPUT).
• Interesuje nas tylko ruch TCP ( -p tcp).
• Interesuje nas tylko ruch, którego port docelowy to 80 ( --dport 80).
• Kiedy mamy dopasowanie, przejdź do DNAT ( -j DNAT).
• Przekieruj ten ruch do adresu IP innego portu 80 serwera ( --to-destination IP:80).

Co to jest DNAT?

DNAT
    This target is only valid in the nat table, in the PREROUTING and OUTPUT 
    chains, and user-defined chains which are only called from those chains.
    It specifies that the destination address of the packet should be modified 
    (and all future packets in  this  connection will also be mangled), and
     rules should cease being examined.

Bibliografia

• Strona podręcznika iptables

Można to bardziej sprecyzować, aby działało tylko w ruchu do określonego hosta docelowego. Na przykład, gdy postfix popełnił błąd i wiadomości w kolejce chcą zostać wysłane na stary adres IP.

iptables -t nat -A OUTPUT -p tcp -d {ONLY_TO_THIS_DESTINATION} --dport 25 -j DNAT --to-destination {NEW_IP}:25

Dzięki temu możesz tłumaczyć porty na wszystkie adresy IP. Główną różnicą jest tutaj brak adresu IP w --to-destinationterenie.

iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination :80