Наверно, по теме вопрос, какие преимущества (например, с точки зрения безопасности) своего dns сервера перед
iptables -t nat PREROUTING -j DNAT -p tcp/udp --dport 53 -j DNAT --to-destination <DNS провайдера> 

Кроме наличия "своего" DNS-сервера...

Можно ли PREROUTING заменить форвардингом, но на клиентских машинах указывать в качестве DNS-сервера адрес внутреннего интерфейса?

Подскажите как заставить открываться сайт в локалке? Т.е. в моей сети я не могу  на него зайти, а вот прихожу домой и все норм. Какие правила я забыл?  Как делал проброс я написал чуть выше.

Сайт висит на моем адресе и пробрамывается наружу.

iptables -t nat -A PREROUTING -p tcp -d 46.72.XXX.XXX --dport 80 -j DNAT --to-destination 192.168.1.127:80
iptables -i FORWARD -d 192.168.1.127 -p tcp --sport 80 -j ACCEPT
iptables -i FORWARD -s 192.168.1.127 -p tcp --dport 80 -j ACCEPT

Обновил правила)

Ладно. Сейчас нет возможности проверить. С телефона пишу. Все на завтра откладывается.  Напиши как должно быть.

Не работает. Трафик до 192.168.1.127 доходит, но толку нет. Так же на нем отключен iptables совсем.
Вот я прокидываю

iptables -t nat -A PREROUTING -p tcp -d 46.72.ХХХ.ХХХ --dport 80 -j DNAT --to-destination 192.168.1.127:80
iptables -A FORWARD -i vlan4 -d 192.168.1.127 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.1.127 -p tcp --sport 80 -j ACCEPT

Вот открыл порт 80 снаружи

iptables -A INPUT -i eth1 -p tcp --dport 8080 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 8080 -j ACCEPT

Вот tcpdump с моего компьютера на 192.168.1.127. Из него видно что все вроде как гуд. Как будто трафик теряется куда то.

Есть еще вот такое.

iptables -t nat -A PREROUTING -p tcp -d 46.72.ХХХ.ХХХ --dport 8080 -j DNAT --to-destination 192.168.1.77:8080
iptables -A FORWARD -i vlan4 -d 192.168.1.77 -p tcp --dport 8080 -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.1.77 -p tcp --sport 8080 -j ACCEPT

На него я спокойно захожу, но на 8080 порту.

Не ошибся?

Копипастил просто ))) У меня там как надо. Вот попробуй открыть http://mgkb1.dyndns.org/. Должен открыться, а у меня не хочет. Прихожу домой, работает.

Заворачиваю, но только для конкретных адресов. А так он у меня не прозрачный.
Могу кинуть весь свой бардак (скрипт iptables), думаю он тебе будет знаком.

в топку DHCP

!!!!!!!!!!
Очень боюсь... Тут статью в нете видел, как один парень через DNS свои пакеты шлет и по разным сеткам бродит, тотальный контроль...

))) Странный вы однако.
Зачем открывать свой DNS во весь мир?

iptables -A INPUT -s 8.8.8.8 -p udp --sport 53 -j ACCEPT
iptables -A INPUT -s 8.8.8.8 -p udp --dport 53 -j ACCEPT

И google будет видеть запросы ток с одного айпи.

iptables -t nat PREROUTING -j DNAT -p tcp/udp --dport 53 -j DNAT --to-destination <DNS провайдера>

А таким макаром можно увидеть все ваши внутренние айпи.

Решение

iptables --table nat --append POSTROUTING --out-interface vlan4 -p tcp -d 192.168.1.0/24 -j MASQUERADE

ребята, такая проблема:

необходимо через мой компьютер в локальной сети 10.10.1.24 попасть на rdp машины, которая находится в подключенном vpn.

user --> 10.10.1.24:111 -> 192.168.1.54:3389

Делаю так:

#!/bin/bash

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -A PREROUTING -p tcp -d 10.10.1.27 --dport 111 -j DNAT --to-destination 192.168.1.54:3389
iptables -A FORWARD -i tap0 -d 192.168.1.54 -p tcp --dport 3389 -j ACCEPT

Но коннект не происходит. в чем дело?
ip forward = 1