NAT'им отдельные порты или "а что делать, если мой веб-сервер внезапно переехал на другую машину". Проброс портов в локалке на шлюзе наружу.
Данный мануал поможет вам в двух глобальных ситуациях:
1) необходимо пробросить порт на шлюзе на одну из внутренних машин в локалке (т.н. port forwarding на роутерах).
2) если по каким то причинам вам необходимо перенаправить трафик с одной машины на другую по определенным портам. Например - переезд веб-сервера (а DNSы ещё не обновились), перенаправить трафик по 21му порту на другую машину (например, если там NFS-хост для нужного сервера и не хочется зря грузить NFS). Параноики могут убрать ssh с 22го порта и трафик с этого порта отправить куда-нибудь в сторону fbi.gov
Ситуация раз. Внешний IP нашего сервера - 8.8.8.8 (учтите, что этот IP должен висеть на одном из интерфейсов шлюза), а трафик по 443му порту нам нужно перенаправлять на машину 192.168.0.3 в локалке. Да легко: root@gateway:~# iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.3 --dport 443 -j SNAT --to-source 8.8.8.8
root@gateway:~# iptables -t nat -A PREROUTING -p tcp --dst 8.8.8.8 --dport 443 -j DNAT --to-destination 192.168.0.3:443
Ситуация 2. Старый сервер - 8.8.8.8 (oldserver), сервер на который нужно перенаправлять трафик - 8.8.4.4
Учтите, что трафик будет литься через 8.8.8.8 в обе стороны (это NAT, а не redirect) - то есть приходит запрос на *.8.8, тот перенаправляет пакет на *.4.4, ждет обратный пакет и отправляет ответ тому, кому нужен этот ответ. Если внешний канал (и тем более он не full-duplex) нагружен - подумайте о хитрых SRV записях. Перенаправляем также 443й порт: root@gateway:~# iptables -t nat -A POSTROUTING -p tcp --dst 8.8.4.4 --dport 443 -j SNAT --to-source 8.8.8.8
root@gateway:~# iptables -t nat -A PREROUTING -p tcp --dst 8.8.8.8 --dport 443 -j DNAT --to-destination 8.8.4.4:443
Ну и хороший совет напоследок. Чтобы избежать много геморроя "если web-daemon вдруг упадет" - держите про запас VDS со страничкой, созданной в соответствии с этой страницей
Если что - быстренько пишем правила в iptables и радуемся, что поисковики и юзеры догадываются что случилось и когда починят.
