Это было с манов а не от меня  smile

Семён Семёныч! .... Спасибо док.

Подскажите как убить порт, делаю так :

что бы он не работал,отключить работу самого порта а не приложений которые на нем висят,сделать аварийный стоп и так же запускать его     ?   Какими командами это можно реализовать

Имеется следующая проблема. При попытке применить эти правила

$ipt -A -p udp -m multiport --dport 27000:27999 -m length --length 52 -m conntrack --ctstate NEW -j DROP
$ipt -A -p udp -m multiport --dport 27000:27999 -m length --length 51:53 -m conntrack --ctstate NEW -m hashlimit --hashlimit-above 4/sec --hashlimit-burst 4
$ipt -A -p udp -m multiport --dport 27000:27999 -j DROP

Получаю

Точно, забыл. Все получилось, но теперь следующее

Разбавим тишину...
Итак задача. Которую мне надо решить. А именно:
1. Имеется локальная сеть подключенная через шлюзовую машину (RFR-12+iptables) к сети интернет. Это подключеие для пользователей (squid и прочий forwarding). Подключено через двух независимых провайдеров. Для подключения к провайдерам используются маршрутизаторы DLINK 824 и 804. Для прокидывания внешнего трафика на _отдельные_ внутренние хосты на этих роутерах используется режим "виртуальный сервер". Особенность этого режима на данных роутерах - в одном правиле прокидывается адресату только один порт нужного хоста. Достаточно удобно и до последнего времени вполне устраивало.
2. Необходимые службы, которые должны иметь двусторонний обмен с интеренетом, я поднимаю на виртуальных машинах, которые выходят в инет не через данный шлюз, а прямо через роутеры (тот же виртуальный сервер). При этом - в межсетевых экранах этих виртуальных машин и в конфигурациях безопасности этих служб я имею возможность рулить адресами источников пакетов. Что очень неплохо для безопасности (антиспамовой) почтового сервера. На проверках соответствия source IP и DNS-записей спотыкается 99 спам-ботов. 
3. И теперь сама проблема. Есть необходимость реализовать офисную ATC Asterisk. Особенность её взаимодействия с провайдерами IP-телефонии по SIP - для двустороннего обмена надо иметь открытый udp-порт 5060 и диапазон udp 10000:20000.
3.1. Смотрим возможности применяемых роутеров - увы, диапазон портов на заданный хост в режиме "виртуальный сервер" они прокинуть не могут. Только поштучно. Смотрим иной режим - DMZ, то есть роутер прокидывает весь трафик на шлюз, пусть тот сам и разбирается.
3.2. Фигня вопрос, разбираемся на шлюзе (в его iptables):
Редиректить ВХОДЯЩИЕ соединения при помощи iptables - легко:
# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-ports 8080
Но это только на локальные порты. А оно мне не очень нужно, мне нужно редиректить входящий трафик на иные внутренние хосты. Тоже несложно:
# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.254:8080
И вот тут опаньки. На хост получатель приходят пакеты не от реального отправителя (которые я бы потом проанализировал), а занатченные, с адресом, где отправитель есть мой редиректящий шлюз. И получатель не видит реального отправителя. Соответственно медным тазом накрывется антиспамерская настройка на почтовом сервере.

Коллеги, подскажите путь выхода из данной коллизии. Советовать заменить роутеры на более подходящие не надо, так как они используюся и для связи нескольких наших сетей (на них VPN организована).
Вопрос стоит иначе - как заредиректить входящий трафик на иной хост локальной сети с помощью iptables, чтобы этот иной хост получал реальные ip-адреса отправителя, а не ip-адрес нашего шлюза?

Из меня художник, как из говна гвозди. Увы-с.
Но попробую:
    INTERNET
-------     --------
  |                |
GW1        GW2 (собственно шлюзы D-LINK)
|                 |
--------------------------------------- DMZ-LAN
    |                          |             |
USERS-GATE    MAIL     ASTERISK
    |                         |              |
--------------------------------------- USERS-LAN
  |           ......        | 
USER-1  ...    USER-N

Такова топология. USERS-GATE - физический компьютер, где поднят squid и набор правил форвандинга для отдельных специфических приложений, что работают на юзерских компьютерах. MAIL и ASTERISK - машины виртуальные, поднятые в VirtalBox'e на отдельном сервере (на картинке не показан). Оба внешних (интернетных) адреса маршрутизаторов у меня объявлены в DNS интернета, как адреса моего почтового сервера. Основной и резервный, для обеспечения высокой доступности почтового сервера. Поэтому почтовый трафик может приходить на машину MAIL по двум этим каналам.

Задача - обеспечить проброс диапазона UDP-портов из сети Интернет на машину ASTERISK. При этом необходимо разбрасывать прочий трафик на иные хосты, на тот же MAIL. Причем редиректить так, чтобы не терялась информация об реальном адресе источника. Шлюзы D-LINK редиректить без потери адреса умеют. Но не умеют пробрасывать диапазон портов на заданный хост. Только поштучно. Однако там есть возможность пробрость _все_ порты на один заданный компьютер - режим DMZ. Собственно пытаюсь под этот режим перенастроить внутреннюю маршрутизацию.
IPTABLES обязан (по документации) прокидывать диапазоны на разные хосты, но вот только по правилу -j DNAT, которое сносит реальный адрес отправителя.  увы-с... А мне нужно раскидать трафик на несколько компьютеров без потери информации о реальном адресе источника.
----------------
И еще одно увы-с... IPTABLES работает в полном объеме только на отдельном физическом компьютере, на USERS-GATE. А вот на виртуальных машинах (от VirtualBox) правила -j DNAT работать отказываются. Работает только -j REDIRECT. Такая вот еще одна особенность... Думал выставить в DMZ (D-LINKовскую) сервер MAIL, ан нет... Не средиректит он нужный трафик на ASTERISK... Выставить можно только USERS-GATE, но при этом теряется информация, нужная для спам-фильтров :-(((
--------------------------------
И еще одно дополнение. Оказывается не все D-LINKи, что я имею, одинаково нехороши. Основной D-LINK (824-й) который окучивает подключение по ADSL-каналу (тонкий исходящий канал и толстый входящий, для сёрфинга) понимает-таки проброс диапазона портов.  А вот на другом канале, где мегабит исходящая полоса стоит DLINK 804-й. И он не понимает (принимает, но игнорирует) проброса диапазона портов. Но именно этот скоростной канал мне и нужен был для VoIP. Так что путь решения проблемы нарисовался - поменять местами роутеры. Но задача не снимается с повестки дня.
А именно - как средствами iptables прероутингом раскидать входящий трафик на несколько хостов без потери информации об адресе источника?

Да какая ему разница-то? Интерфейс VB держит как сетевой мост. То есть IP виртуальной машины находится в диапазоне мой локальной сети, все нужные адреса виртуальная машина видит без проблем (как и её). То есть по сути имеем аналог виртуальных интерфейсов, поднятых по ifconfig ethX:1 IP up. Только сделано чуть иначе. Почему виртуальная машина не может сделать прероутинг на другой хост - не пойму физики процесса.

Кстати, напрасно я думал, что мне поможет перестановка моих роутеров. Там чудесато весьма. То поработает SIP-соединение, то замолкнет (по входу). То есть ко мне входной поток перестает идти, потом отдохнет, и снова пойдет. Это если я в режиме форвардинга пакетов (виртуальный сервер) на роутерах работаю. Если выставляю астериск наружу полностью (DMZ в терминах роутера DLINK) то такой проблемы не возникает, связь устойчива. Но... Возникают иные проблемы - не могу я из виртуального астериска средиректить нужным образом порты на иные хосты. Как вывернуться на имеющемся оборудовании - никаких идей нет...
Более того - всё это еще связано с одним параметром в астериске (внешний IP адрес). Если его установить (а он должен быть установлен), то и возникают все мои чудеса если к астериску идет форвардинг отдельных паетов. Если его не устанавливать или выставить астериск наружу полностью, то астериск работает, вроде-как, беспроблемно и таких зависонов с пропаданием звука нету.

Они нужны. Так как соединяют с Инетом несколько компьютеров. Причем соединяют их так, что каждый из этих компьтеров знает об соединяющимся с ним источнике... Сохранение этого знания для меня принципиальное условие.
Роутеры друг другу не мешают. Более того - не только на разных "внутренних" адресах сидят. Но и в разных внутренних IP-сетях. И на каждый шлюз прописаны явно правила статической маршрутизации. И до последнего времени меня это более чем устраивало.

А проблемы возникли с разворачиванием Asterisk'а.
А именно - Астериск работает нормально только в том случае, если его машину полностью выставить в iNet. То есть организовать режим DMZ на роутере D_LINK. Однако при этом мне необходимо пробрасывать ряд портов с этого роутера на иные машины. Причем пробрасывать без потери адресной информации. Но имею:
1. Редирект средствами iptables сносит нужную мне информацию, ибо -j DNAT
2. По непонятным мне причинам редирект с DNAT не хочет работать в машине, запущенной в VirtualBox...
3. Asterisk развернут именно в отдельной VB-машине.
При иных настройках роутера D-LINK (пробрасывающих так или иначе порты на *) * начинает работать некорректно. До неё периодически не доходит входной поток звука. Два-три звонка на SIP в iNET и после этого - тишина. Повисит в этом состоянии минут 10-15 - снова речь появляется. Но ненадолго...

всем привет. помогите новичку, недавно начал курить iptables
но сегодня надо уже выполнить ТЗ
hp2035n printer (192.168.5.31) <== ubuntu_serv (eth0=192.168.5.1 eth1=92.18.11.11)
нужно прокинуть порты для печати из виндовых  машин через инет (используя адрес  92.18.11.11)
принтер сетевой

по идее
должно хватить строчки
sudo iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 515 -j DNAT --to-destination 192.168.5.31:515
?

Проверьте так

iptables -t nat -I PREROUTING 1 -s 192.168.0.45 -p tcp --dport 80 -j ACCEPT

Люди, подскажите:
У меня связка:

wi-max роутер раздает интернет на мой шлюз по dhcp. Как быть с iptables чтобы шлюз раздавал интернет полученный с wimax роутера в локалку?

корректно ли будет указание ip полученного с роутера как ip полученного из вне? или нужно делать маскардинг?