Проброс портов на виртуалку + динамический ip и iptables

Не могу понять где и что я забыл:
ppp0, виртуальный tap0, на виртуалке (192.168.1.2) - apache, по 192.168.1.2 - все работает.
Хост (ppp0) - стоит noip2, если на нем поставить тот же apache - через no-ip всё оk, с пробросом на виртуалку - ноль эмоций.

[console]
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80
iptables -A FORWARD -i ppp0 -d 192.168.1.2 -p tcp --dport 80 -j ACCEPT
[/console]

Пробовал уже не один вариант, где-то что-то я все-таки забыл, повыкидывал пока все правила и дропы, только маскарадинг:

iptables -t nat -A PREROUTING укажи source
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 172.16.0.100:80

iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 192.168.1.2:80
iptables -A FORWARD -i ppp0 -d 192.168.1.2 -p tcp --dport 80 -j ACCEPT

Делал и так - нифига, главное с полгода назад каким-то способом все работало, потом закоментил за ненадобностью...
Попробовал еще раз - ноль эмоций.

Покаж весь скрипт

Kettler написал:

Покаж весь скрипт

Я ж выложил, сейчас для тестов только то что вверху только экперементы с последними двумя строчками:
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 192.168.1.2:80
iptables -A FORWARD -i ppp0 -d 192.168.1.2 -p tcp --dport 80 -j ACCEPT

так как у меня динамический уже пробовал вот так:
iptables -v -t nat -A PREROUTING -p tcp -d 188.233.136.186 --dport 80 -j DNAT --to-destination 192.168.1.2:80
iptables -v -A FORWARD -i ppp0 -d 192.168.1.2 -p tcp --dport 80 -j ACCEPT
iptables -v -t nat -A PREROUTING -p udp -d 188.233.136.186 --dport 80 -j DNAT --to-destination 192.168.1.2:80
iptables -v -A FORWARD -i ppp0 -d 192.168.1.2 -p udp --dport 80 -j ACCEPT

пока ip не сменился, все -равно ничего.

iptables -A FORWARD -p tcp -s 192.168.1.2 --sport 80 -j ACCEPT
iptables -A FORWARD -p tcp -d 192.168.1.2 --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 192.168.1.2:80

? не забываем про обратку
Подправил

Эффект тот же только локально 192.168.1.2 apache виден.
ы. На no-ip редиректов никаких не стоит, щаз зашел - все стандартно порт 80.

А может дело в апаче?

А чё с ним может быть? Голая debian на виртуалке + apache без настроек - на 192.168.1.2 показывает свой "It works!"
Если на хост ставлю apache то на zenon.sytes.net показывает, перенаправлятся на виртуалку не хочет, всю голову уже сломал...

Kettler, начал грешить на vde2, хотя маскарадинг и пинги через него иду - значит наверное зря...
Ну да ладно поднял virt-manager, еще одну подсеть 192.168.100.0/24...
Перенастроил гостя, ну и попытался опять пробросить порты... Результат тот-же.

Попробовал на всякий поставить arno-iptables-firewall,
Проброс у него тут:
/etc/arno-iptables-firewall/firewall.conf
NAT_FORWARD_TCP="80>192.168.1.2"
NAT_FORWARD_UDP="80>192.168.1.2"
и опять обломался.

Пробовал ftp пробросить, не получилось, осталось ssh попробовать....

Честно я хз почему у тя так.
Может где apache что нибудь блокирует

Вот например с рабочей машины

iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -m limit --limit 1/min -j LOG --log-prefix "Incoming80: "
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 172.16.0.100:80

iptables -A FORWARD -p tcp -s 172.16.0.100 --sport 80 -j ACCEPT
iptables -A FORWARD -p tcp -d 172.16.0.100 --dport 80 -j ACCEPT

Попробуй ещё попробовать политику изменить.

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

Короче кони не едут.
Поставил на локальную машину 192.168.0.5 apache.
Поменнял привязку с no-ip на dyndns.

И все так-же захожу 192.168.0.5 => работает apache.
Захожу по привязке к dyndns => попадаю только на шлюз (192.168.0.1).

Логи смотри не спроста же -j LOG --log-prefix "Incoming80: " wink

/var/log/syslog - ничего не оседает

Пока настраиваю логирование, чтобы писалось в /var/log/iptables.log
/etc/rsyslog.d/10-iptables.conf

:msg, contains, "iptables: "    -/var/log/iptables.log
& ~

есть советы?

А ведь в syslog должен.
А так лучше syslog-ng

# sources
source s_all {
        # message generated by Syslog-NG
        internal();
        # standard Linux log source (this is the default place for the syslog()
        # function to send logs to)
        unix-stream("/dev/log");
        # messages from the kernel
        file("/proc/kmsg" log_prefix("kernel: "));
        # use the following line if you want to receive remote UDP logging messages
        # (this is equivalent to the "-r" syslogd flag)
        # udp();
};
# destinations
destination http { file("/var/log/firewall/http.log"); };
# filters
filter http { match (Incoming80:); };
# log
log {
         source(s_all);
         filter(http);
         destination(http);
 

Я просто сначала не понял почему ничего нет, сделал так:
iptables -v -A INPUT -j LOG --log-prefix "iptables: "
iptables -v -A OUTPUT -j LOG --log-prefix "iptables: "
iptables -v -A FORWARD -j LOG --log-prefix "iptables: "
- посыпалось...
А на 80-й ничего.

ы. Подробней про syslog-ng есть чё? Надо все -таки логи по-человечески настроить.

Зделай логи в prerouting
Тут подробнее
http://linux.die.net/man/5/syslog-ng.conf
Ещё как вариант
iptables -t nat -I PREROUTING 1 --dport 80 -j DNAT --to-destination 192.168.0.5:80

И ещё мне помниться у тебя в interfaces какие то скрипты выполнялись при поднятии интерфейсов

Это tap и switch (как хаб в 10 портов) поднимается, прост я их в pre-up запихнул:

auto tap0
iface tap0 inet static
  address 192.168.1.1
  netmask 255.255.255.0
  network 192.168.1.0
  broadcast 192.168.1.255
  pre-up    vde_tunctl -t tap0
  pre-up    vde_switch -x -n 10 -s /var/run/vde2/vde_192.ctl -g vde2-net -m 770 -d -p /var/run/vde2/vde_192.pid -t tap0
  post-down kill `/bin/cat /var/run/vde2/vde_192.pid`
  post-down vde_tunctl -d tap0

Все-равно странно почему на DNAT 80-й ничего не летит в логи

Блин криво написал
Пробни так
iptables -t nat -I PREROUTING 1 -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 172.16.0.100:80

Тот же эффект. Слушай, а от провайдера может зависеть?
Хотя не, на шлюзе-то все работает...
Последний испытанный вариант:

iptables -v -t nat -A PREROUTING -p tcp -i ppp0 --dport 80 -j LOG --log-prefix "iptables80: "
iptables -v -t nat -I PREROUTING 1 -p tcp -i ppp0 --dport 80 -j DNAT --to-destination 192.168.0.5:80
iptables -v -A FORWARD -p tcp -s 192.168.0.5 --sport 80 -j ACCEPT
iptables -v -A FORWARD -p tcp -d 192.168.0.5 --dport 80 -j ACCEPT