Странное поведение iptable с nat И переадресацией портов

У меня есть несколько выделенных серверов, размещенных в нескольких центрах обработки данных, и я хочу перенести почту ( pop3 , imap , smtp ] и их варианты TLS / SSL) с одного сервера на другой.

Для этой цели я намерен временно установить маршрутизацию NAT на новом сервере на старый для обработки времени DNS

Итак, я определил следующие правила IPTABLES :

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 25  -j DNAT --to-destination <my_remote_ip>:8025
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 110 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 143 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 465 -j DNAT --to-destination <my_remote_ip>:8465
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 587 -j DNAT --to-destination <my_remote_ip>:8587
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 993 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 995 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 110  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 143  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 993  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 995  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8025 -j SNAT --to-source <my_local_ip>:25
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8465 -j SNAT --to-source <my_local_ip>:465
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8587 -j SNAT --to-source <my_local_ip>:587

iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 110  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 143  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 993  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 995  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8025 -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8465 -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8587 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 110  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 143  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 993  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 995  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8025 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8465 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8587 -j ACCEPT

(на самом деле упрощено, на самом деле это дублируется для IPv4 и IPV6, а на некоторых серверах интерфейс может отличаться от интерфейса eth0… и Конечно, я изменил фактические IP-адреса)

Вы можете заметить, что почтовые службы обрабатываются только NAT, но службы, связанные с SMTP, также имеют преобразование портов , связанное либо с обратным преобразованием, либо с конкретным прослушиванием этих портов на сервере назначения.

Для этого есть веская причина: мой хостинг-провайдер использует для мониторинга o исходящие SMTP-соединения для обнаружения и блокировки спама, размещенного на всех размещенных ими серверах. Но если я перенаправляю входящие соединения на порт SMTP на другой из моих серверов, входящий спам становится исходящим спамом (с точки зрения центра обработки данных) , прежде чем у него появятся шансы для фильтрации (на целевом сервере) , и в результате мой хостинг-провайдер немедленно блокирует NAT-сервер.

Поэтому мне нужно также преобразовать номер порта, чтобы пересылать эти соединения.

Входящие пакеты и исходящие (NAT'ed) пакеты используют один и тот же интерфейс (потому что эти серверы имеют только один сетевой интерфейс) .

На самом деле это работает более или менее, за исключением того, что порт перенаправляет соединения ( и только эти , без проблем на портах 110, 143 и т. д.) имеют странное поведение: они работают при первом использовании, но если я немедленно отключаюсь и снова подключаюсь, переадресация больше не работает, и мне нужно ждать около 1 до 3 минут, прежде чем я смогу подключиться снова.

Похоже, это связано с IP-адресом, а не с номером порта: даже если предыдущее соединение было через порт 110 (pop3, а не перенаправленный порт), мне нужно подождать такая же задержка перед подключением к порту 25.

Я проверил, что на нескольких серверах все l из них Linux Debian Wheezy , Jessie или Stretch , а также на обоих IPv4 и IPv6 (кроме на Wheezy, который не может использовать NAT IPv6) . ……… Да, я знаю, что Wheezy устарел, поэтому я перехожу.

Все IP-адреса полностью статичны.

И да, я установил / proc / sys / net / ipv4 / ip_forward (и его эквивалент IPv6) на 1 .

Я использую telnet для тестирования соединений и проверяю пересылку с помощью tcpdump . С помощью последнего я могу проверить, что пересылка действительно не выполняется, и что это не сервер назначения, который блокирует входящие соединения.

Пожалуйста, помогите мне найти причину этого 1- 3-минутная задержка блокировки и как ее исправить?

Gingko