Настройка iptables

Стоит задача:
Организовать доступ из интернета к локальным компьютерам у которых нет внешнего ip адреса.
Организовать доступ к удаленному рабочему столу (mstsc)

Реализовуем ету задачу с помощью программы iptables.

Дано:

eth0 - Интерфейс который смотрит в локальную сеть.
eth2 - Интерфейс который смотрит в глобальную сеть (интернет).
lan_ip - локальный IP адрес компьютера (шлюз) на котором настраиваем доступ.
inet_ip - внешний IP адрес компьютера (шлюз) на котором настраиваем доступ.
comp1_ip, comp2_ip, comp3_ip - адреса компьютеров к которым нужно организовать доступ.

В файле /etc/default/iptables пропишем необходимые нам правила:

# nano /etc/default/iptables
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

-A PREROUTING -d inet_ip/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination comp1_ip:3389
-A PREROUTING -d inet_ip/32 -p tcp -m tcp --dport 6658 -j DNAT --to-destination comp2_ip:6658
-A PREROUTING -d inet_ip/32 -p tcp -m tcp --dport 6634 -j DNAT --to-destination comp3_ip:6634

-A POSTROUTING -d comp1_ip/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source lan_ip
-A POSTROUTING -d comp2_ip/32 -p tcp -m tcp --dport 6658 -j SNAT --to-source lan_ip
-A POSTROUTING -d comp3_ip/32 -p tcp -m tcp --dport 6634 -j SNAT --to-source lan_ip
COMMIT

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]

-A INPUT -d comp1_ip -p tcp -m tcp --dport 3389 -j ACCEPT
-A INPUT -d comp2_ip -p tcp -m tcp --dport 6658 -j ACCEPT
-A INPUT -d comp3_ip -p tcp -m tcp --dport 6634 -j ACCEPT

-A FORWARD -i eth2 -s comp1_ip/32 -o eth0 -p tcp -m tcp --sport 3389 -j ACCEPT
-A FORWARD -i eth0 -d comp1_ip/32 -o eth2 -p tcp -m tcp --dport 3389 -j ACCEPT
-A FORWARD -i eth2 -s comp2_ip/32 -o eth0 -p tcp -m tcp --sport 6658 -j ACCEPT
-A FORWARD -i eth0 -d comp2_ip/32 -o eth2 -p tcp -m tcp --dport 6658 -j ACCEPT
-A FORWARD -i eth2 -s comp3_ip/32 -o eth0 -p tcp -m tcp --sport 6634 -j ACCEPT
-A FORWARD -i eth0 -d comp3_ip/32 -o eth2 -p tcp -m tcp --dport 6634 -j ACCEPT

-A OUTPUT -s comp1_ip -p tcp -m tcp --dport 3389 -j ACCEPT
-A OUTPUT -s comp2_ip -p tcp -m tcp --dport 6658 -j ACCEPT
-A OUTPUT -s comp3_ip -p tcp -m tcp --dport 6634 -j ACCEPT
COMMIT

После этого перезагружаем iptables

/etc/init.d/iptables restart

Теперь мы реализовали доступ по mstsc с интернета на ip inet_ip порт 3389, а нас перенапрявляет на локальный терминальный сервер comp1_ip:3389

А также доступ к двом другим компютерам.