iptablesは外部リクエストを127.0.0.1にリダイレクトします

127.0.0.1でポート2222で実行されているサービスがあります。すべての要求をサブネット192.168.1.0/24から127.0.0.1:2222にのみ 192.168.2.2:2222（外部IP）に転送する必要があります。

これを使用しようとしていますが、機能していません。

$ iptables -t nat -I PREROUTING -p tcp -d 192.168.1.0/24 --dport 2222 -j DNAT --to-destination 127.0.0.1:2222

これを機能させるにはどうすればよいですか？

UPD：アドレススキームを編集します。

使用しているiptablesルールは機能しますが、追加の変更が必要です。

sysctl -w net.ipv4.conf.eth0.route_localnet=1

（eth0nicとの置き換えは192.168.2.2常駐します）

デフォルトでは0、この値はであり、これはに向かう外部トラフィックをルーティングしないようにカーネルに指示します127.0.0.0/8。このようなトラフィックは正常ではないため、これはセキュリティのためです。

追記：現在のiptablesルールは広すぎます。ルール-d 192.168.1.0/24 --dport 2222は宛先一致として指定します。つまり、マシンがポート2222上の別のホスト（つまり、アウトバウンドトラフィック）と通信しようとすると、同様にリダイレクトされます。-d一致をに変更するか-d 192.168.2.2、追加-i eth0（またはnicが何でも）する必要があります。

localhostにリダイレクトできますが、ループバック（127.0.0.0/8）にはリダイレクトできません。ループバックは抜け穴です。実際のインターフェースの1つにリダイレクトする必要があります。リダイレクトを使用してみてください。

iptables -t nat -A PREROUTING ..... -j REDIRECT --to-port 222

との正解がroute_localnet機能しない場合はどうなりますか？..

カーネルにのパッチがroute_localnet含まれていない場合、...カーネルをアップグレードしてください！

または、外部インターフェースでリッスンしてトラフィックを転送するプロセスを実行することにより、あるインターフェースに着信するトラフィックを別のインターフェースの別のポート（特にローカルホスト）に転送する他の方法があります。

netcat（nc）、、xinetdおよびssh（おそらくそれ以上）はすべて、これを実行できるプログラムの例です（ただし、選択sshは奇妙で効果的ではありませんが）。

xinetdこのための構成を作成しました。現在、このサービスは自動的に起動されます。

# cat /etc/xinetd.d/z-from-outside 
# default: off
# description: Forward connections to the z port.
service z-from-outside
{
    disable         = no
    socket_type     = stream
    type        = UNLISTED
    wait            = no
    user            = nobody
    bind        = vaio.ob
    port        = 7070
    redirect    = localhost 7070
}
# 

（vaio.ob外部ネットワークインターフェイス上のこのホストの名前です。）

の後、service xinetd reloadリスニングしていることを確認しましょう。

# lsof -i -P | fgrep 7070
xinetd    556      root    6u  IPv4 1797906      0t0  TCP vaio.ob:7070 (LISTEN)
sshd    27438 tun_zzoom    4u  IPv4 1059100      0t0  TCP localhost.localdomain:7070 (LISTEN)
# 

そして確かに、接続は通過します！