Я же заворачиваю пакеты на прокси. а там как ни крути один порт =)

Тут вроде для доступа в мою локальную сеть извне, несколько другое, хотя по духу близко.
Мне нужно поправить заголовки пакетов, чтобы прокси сервер смог их обработать и перенаправить (Прокси сервер не в моей Локальной сети)
Плохо понимаю логику команд и аргументов в iptables поэтому немогу корректно наваять скрипт.

Нарыл в интернетах кой-какую инфу:

Задача: нужно сделать переадресацию с определённого ip порта 6669 на другой ip, только на порт 6667:

Решение:
iptables -t nat -A PREROUTING -s 192.168.62.0/24 -d 192.168.100.14 -p tcp --dport 6669 -j DNAT --to-destination 192.168.62.1:6667

'REDIRECT' можно использовать при перенаправлении портов _только_ на локальной машине. Сделать так, как это описано в совете (перенаправить с одного адреса на другой), с REDIRECT не получится.

Похоже как раз мой случай. Буду пробовать завтра, о результатах отпишусь.

Спасибо, то что нужно. Действительно не очень четко сформировал цель.
PS не знал, что проксирование тоже натом рулится. Думал для этого какие-то отдельные средства нужны.
Спасибо за помощь.

Добавлено:
Что-то все-равно не получается.
Ввожу дополнительные данные:
Проброс требуется установить до сервиса yota music.
ip 94.25.208.227
пакеты идут на порты 80 и 443
мне нужно пустить их через прокси хх.хх.хх.хх:888, находящийся в интернетах
Телевизору присвоен ip 192.168.1.3(dhcp), ip адрес роутера 192.168.1.1
Как заскриптовать?
Попробовал:
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d 94.25.208.227 -p tcp/all --dport 80/443 -j DNAT --to-destination xx.xx.xx.xx:888
Без видимого эффекта: пакеты как шли так и идут напрямую, не через прокси.

iptables -t nat -A PREROUTING -s 192.168.1.0/24  --dport 80/443 -j DNAT --to-destination xx.xx.xx.xx:888

При этом ток forward правило accept

или

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 -j DNAT --to-destination 192.168.0.1:80
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 443 -j DNAT --to-destination 192.168.0.1:443

Ток 443 сквозной толком не пашет!

Так читабельнее
#80
iptables -A FORWARD -s 192.168.1.0/24 -d $ipsquid --dport 80 -j ACCEPT
iptables -A FORWARD -s $ipsquid -d 192.168.1.0/24 --sport 80 -j ACCEPT
443
iptables -A FORWARD -s 192.168.1.0/24 -d $ipsquid --dport 443 -j ACCEPT
iptables -A FORWARD -s $ipsquid -d 192.168.1.0/24 --sport 443 -j ACCEPT

Не должен и не будет.
Пробуй вот такой скрипт

#!/bin/bash
$ipsquid=10.213.1.1
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 80 -j DNAT --to-destination $ipsquid:80
iptables -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --dport 443 -j DNAT --to-destination $ipsquid:443

Теперь надо настраивать firewall
На счёт 443 (https) он не может толком работать в таком режиме.

newzenon я стобой согласен но главное найти проблему а потом от неё плясать.
Да и input просто так закрыть нельзя.

Ну я тут смотрю вы играетесь с 80-ым и 443:
Вот так можно попробовать поступить;

#!/bin/bash
$ipsquid=10.213.1.1
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 80 --sport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -p tcp --dport 80 --sport 80 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 80 --sport 80 -j ACCEPT

iptables -A INPUT -i eth0 -p tcp --dport 443 --sport 443 -j ACCEPT
iptables -A FORWARD -i eth0 -p tcp --dport 443 --sport 443 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 443 --sport 443 -j ACCEPT

И уже более точно ясно буде что использовать...

По=ходу мало кто о P DROP задумывается - ну и раздолье имеем для взлома....  smile

Kettler, эмм forward же открыт и доступ во внутреннюю сетку тоже никто вроде не закрыл, хотя имхо так и паранойю можно заработать.  :lol:

Ну если мы порты внутрь прокинули то мы попадем как-раз в пункт назначения.
ы. как-бы из меня взломщик не особо удался... это надо на счет тестирования к этим обращаться ну сам знаешь...  smile

спасибо за ответы. Причина была в отсутствии правила output для 80 порта.
443 порт действительно нужен лишь для аутентификации в сервисах - пустил его напрямую.
Теперь возник еще один вопрос:
Из проксирования надо исключить все пакеты, идущие на 93.158.134.3:80, то есть пакеты на этот ip должны идти напрямую, минуя прокси.