2.5.5.3. DMZs e IPTables

Puede crear reglas iptables para enrutar el tráfico a algunas máquinas, tales como un servidor HTTP o FTP, en una zona desmilitarizada (DMZ). Un DMZ es una subred local especial dedicada a proporcionar servicios en un transportador público, tal como la Internet.

Por ejemplo, para establecer una regla para solicitudes HTTP de enrutamiento entrantes a un servidor dedicado HTTP en 10.0.4.2 (fuera del rango de LAN 192.168.1.0/24), NAT emplea la tabla PREROUTING para reenviar los paquetes al destino apropiado:

[root@myServer ~ ] # iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.4.2:80

[root@myServer ~ ] # iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.4.2:80

Con este comando, todas las conexiones HTTP al puerto 80 desde fuera de LAN se enrutan al servidor HTTP en una red independiente del resto de la red interna. Esta forma de segmentación puede ser más segura que las conexiones que permiten conexiones HTTP a una máquina en la red.

Si el servidor HTTP está configurado para que acepte conexiones seguras, entonces el puerto 443 también se debe reenviar.