48.8.5.3. DMZs および IPTables

iptables ルールを作成して、専用 HTTP サーバーや FTP サーバーなどの特定のマシンにトラフィックをルーティングする ことが できます。DMZ は、インターネットなどのパブリック伝送者にサービスを提供すること専用の特別なローカルサブネットワークです。

たとえば、受信 HTTP 要求を 10.0.4.2 (LAN の 192.168.1.0/24 範囲外)で専用の HTTP サーバーにルーティングするルールを設定するには、NAT は PREROUTING テーブルを使用してパケットを適切な宛先に転送します。

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.4.2:80

このコマンドでは、LAN の外部からポート 80 へのすべての HTTP 接続は、他の内部ネットワークとは別のネットワーク上の HTTP サーバーにルーティングされます。この形式のネットワークセグメンテーションは、ネットワーク上のマシンへの HTTP 接続を許可するよりも安全であることが証明されます。

HTTP サーバーがセキュアな接続を受け入れるように設定されている場合は、ポート 443 も転送する必要があります。