iptables и подсеть "без денег"

[REV 0]

Доброго времени суток!) Дабы ограничить пользователей, решил их скидывать в одну подсеть где нет интернета.

Скидывать всех в одну подсеть, и показывать им страницу "дай денег", это получилось сделать.
Но не понятно как так сделать в iptables, чтобы была возможность с этой странички ходить по ссылкам https в сторону 443 порта?
Думал, добавить filter до prerouting:

192.168.16.0/24 - подсеть без денег
2**.*1*.*5.*7 - адрес куда хотелось бы ходить
*1.*30.2*0.3* - внешний адрес шлюза
 

iptables -t filter -A INPUT -s 192.168.16.0/24 -d 21*.*1*.*5.*7 -p tcp -m tcp --dport 443 -j ACCEPT

iptables -t filter -A OUTPUT -s 192.168.16.0/24 -d 21*.*1*.*5.*7 -p tcp -m tcp --dport 443 -j ACCEPT
 но не выходит.
Вся секция хождения "в никуда" имеет след. вид:

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.16.0/24 -j SNAT --to-source *1.*30.2*0.3*
iptables -t filter -A INPUT -s 192.168.16.0/24 -d 2**.*1*.*5.*7 -p tcp -m tcp --dport 443 -j ACCEPT
iptables -t filter -A OUTPUT -s 192.168.16.0/24 -d 2**.*1*.*5.*7 -p tcp -m tcp --dport 443 -j ACCEPT
iptables -t nat -A PREROUTING -s 192.168.16.0/24 -p tcp --dport 80 -j REDIRECT --to-port 8000
iptables -t nat -A PREROUTING -s 192.168.16.0/24 -p tcp --dport 443 -j REDIRECT --to-port 8000
iptables -A FORWARD -s 192.168.16.0/24 -j ACCEPT
iptables -A FORWARD -d 192.168.16.0/24 -j ACCEPT

Может, кто-то делал подобное...или, кто-то может подсказать...

[l1ght 377]

Залиште дурну ідею редіректити хттпс. Ця витівка приречена - тому що це хттпс!

Просто робіть редірект по 80 порту і не займайтесь хвігньой.

[fet4 46]

Что ты подразумеваешь под хождением с этой странички на 443?

[l1ght 377]

Хм, може не так зрозумів ТС-а.

Я думаю просто треба зробити нат ціеї мережі по дст порт 443.

[KaYot 3 605]

Таблицы iptables приходятся последовательно и независимо. Значит, раз редирект делаете в прероутинге, там же и разрешение делайте.

iptables -t nat -A PREROUTING -d xx.xx.xx.xx -p tcp --dport 443 -j ACCEPT

Перед правилами редиректа.

[Гайджин 574]

Фильтрацию? В nat-е? - Занятнос...

Похоже что у ТСа логика ipchains, а не iptables в голове. - Правила туда и обратно на хрена то...

[fet4 46]

# Редирект должников

iptables -t nat -N redirect

iptables -t nat -A redirect -p tcp -m multiport --dport 80,443 -j DNAT --to-destination *1.*30.2*0.3*:8080

iptables -t nat -A PREROUTING -s 192.168.16.0/24 -j redirect

 

#Разрешаем форвардинг для "без денег"

iptables  -A FORWARD -s 192.168.16.0/24 -d 2**.*1*.*5.*7 -j ACCEPT

 

#Разрешаем до шлюза

iptables  -A INPUT  -s 192.168.16.0/24 -j ACCEPT

 

#От сервера по-умолчанию поставь Accept

iptables  -P OUTPUT ACCEPT

 

#До шлюза и проходящие

iptables  -P INPUT DROP

iptables   -P FORWARD DROP

 

Відредаговано 2014-09-06 10:37:24 fet4

[KaYot 3 605]

Выше какой-то бред.

[fet4 46]

Бред у тебя в голове

[foreverok 95]

А почему бы не сделать так?

iptables -t nat -A POSTROUTING -o eth0 -s 192.168.16.0/24 -j SNAT --to-source *1.*30.2*0.3*
iptables -A FORWARD -d 2**.*1*.*5.*7 -p tcp --dport 443 -j ACCEPT 

Відредаговано 2014-09-06 22:12:22 foreverok

[REV 0]

Бред у тебя в голове

Когда дядя KaYot говорит, я прислушиваюсь. Ни разу он еще не пинал в ненужное русло.

Но перепроверю и Ваш, вариант...спасибо, что уделили внимание и отписались.)

 

[REV 0]

Фильтрацию? В nat-е? - Занятнос...

Похоже что у ТСа логика ipchains, а не iptables в голове. - Правила туда и обратно на хрена то...

Была бы логика другая я скорее всего не писал в данном разделе...но спасибо за замечание.

[REV 0]

Залиште дурну ідею редіректити хттпс. Ця витівка приречена - тому що це хттпс!

Просто робіть редірект по 80 порту і не займайтесь хвігньой.

Дивлячись на те, що Ви не перший, хто так говорить...скоріш за все так і буде.

[REV 0]

Вышло все вот так:

iptables -t filter -A INPUT -s 192.168.16.0/24 -d 2**.1**.6*.*7 -p tcp -m tcp --dport 443 -j ACCEPT

iptables -t filter -A OUTPUT -s 192.168.16.0/24 -d 2**.1**.6*.*7 -p tcp -m tcp --dport 443 -j ACCEPT

iptables -t nat -A PREROUTING -s 192.168.16.0/24  !-d 2**.1**.6*.*7 -p tcp --dport 80 -j REDIRECT --to-port 8000

iptables -t nat -A PREROUTING -s 192.168.16.0/24 !-d 2**.1**.6*.*7 -p tcp --dport 443 -j REDIRECT --to-port 8000
Все остальное не пускает, а по этой ссылке все ходит_)
Спасибо всем, кто отвечал_)