Publier un service : DNAT et filtrage cohérents

Publiez le portail interne 172.16.10.20:443 (DMZ, eth2) sur l'adresse publique 203.0.113.10 de la passerelle (eth0), conformément à la ligne de matrice « INTERNET → PORTAIL, TCP 443 ».

Dans /etc/nftables.conf :

• table ip nat, chaîne prerouting (type nat hook prerouting priority -100;) : iifname "eth0" ip daddr 203.0.113.10 tcp dport 443 dnat to 172.16.10.20
• chaîne forward (politique drop) : autoriser l'adresse interne 172.16.10.20 port 443 depuis eth0 vers eth2, et les retours
• aucun autre port publié

Rechargez nftables. Dans la chaîne forward, faut-il filtrer sur l'adresse publique ou interne ? → answer adresse <publique|interne>