DMZ com iptables

eduoliv4720
(usa Ubuntu)

Enviado em 19/08/2013 - 15:42h

Olá,
Trabalho em uma empresa que gerencia acesso a internet e tenho uma necessidade que ainda não consegui sanar.
O cliente (shopping) vende acesso a internet para suas lojas, até ai nada demais, o problema é que algumas lojas têm serviços pela internet (sites/email/...) e por isso foram fornecidos ips publicos. Agora preciso colocar um servidor linux que entregue ips privados sem que as lojas percam os seus serviços online.
A minha ideia é a loja receber um ip privado (10.10.10.0/24) e o servidor redirecionar os pacotes de um ip valido para esse ip privado.

A grande dificuldade é fazer com que os ips usados pelas lojas sejam colocados no linux e possam direcionar para cada loja correspondente.
ips usados hoje:
loja 1: 200.200.200.2
loja 2: 200.200.200.3
loja 3: 200.200.200.4
loja 4: 200.200.200.5
Exemplo: Com uma interface virtual na interface do link, usaria algumas regras que redirecionassem todas as requisições com destino a interface virtual para o ip privado da loja 1, ou seja, o servidor linux terá na sua placa de rede ligada no link o ip 200.200.200.1 e quando receber requisições para o ip 200.200.200.2 direcionar para o ip privado da loja 1.

Não consegui montar um conjunto de regras que eu consiga fazer isso. Abaixo algumas regras que eu tentei.
informando que a primeira regra do firewall é drop para tudo.

iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -I PREROUTING -i eth0:1 -j DNAT -to 10.10.10.154
iptables -t nat -I PREROUTING -i eth0:1 -d 10.10.10.154 -j ACCEPT
iptables -t nat -I PREROUTING -i eth0:1 -p tcp REDIRECT -to 10.10.10.154
iptables -I PREROUTING -t nat -d 10.10.10.154 -j RETURN
iptables -I FORWARD -d 10.10.10.154 -j ACCEPT
iptables -t nat -A PREROUTING -i eth0:1 -p tcp -m multiport --dport 80,443,2022 -d 0/0 -j DNAT --to 10.10.11.18

Alguém pode me guiar para eu resolver isso?