Странное поведение на iptable с nat и переадресацией портов

У меня есть несколько выделенных серверов, размещенных в нескольких центрах обработки данных, и я хочу перенести почту (pop3, imap, smtp и их варианты TLS / SSL) с одного сервера на другой.

Для этого я намерен временно установить NAT маршрутизация на новом сервере на старый для обработки времени распространения DNS.

Итак, я определил следующее IPTABLES правила:

iptables -t nat -A PREROUTING -p tcp -m tcp --dport 25  -j DNAT --to-destination <my_remote_ip>:8025
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 110 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 143 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 465 -j DNAT --to-destination <my_remote_ip>:8465
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 587 -j DNAT --to-destination <my_remote_ip>:8587
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 993 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 995 -j DNAT --to-destination <my_remote_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 110  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 143  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 993  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 995  -j SNAT --to-source <my_local_ip>
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8025 -j SNAT --to-source <my_local_ip>:25
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8465 -j SNAT --to-source <my_local_ip>:465
iptables -t nat -A POSTROUTING -d <my_remote_ip> -p tcp -m tcp --dport 8587 -j SNAT --to-source <my_local_ip>:587

iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 110  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 143  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 993  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 995  -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8025 -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8465 -j ACCEPT
iptables -A FORWARD -d <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --dport 8587 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 110  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 143  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 993  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 995  -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8025 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8465 -j ACCEPT
iptables -A FORWARD -s <my_remote_ip> -i eth0 -o eth0 -p tcp -m tcp --sport 8587 -j ACCEPT

(на самом деле упрощено, на самом деле это дублируется для IPv4 и IPV6, а на некоторых серверах интерфейс может отличаться от eth0… и, конечно, я изменил фактические IP-адреса)

Вы можете заметить, что почтовые службы имеют только NAT, но что службы, связанные с SMTP, также имеют перевод порта, связанный либо с обратным преобразованием, либо с конкретным прослушиванием этих портов на конечном сервере.

Для этого есть веская причина: мой хостинг-провайдер использует для отслеживания исходящих SMTP-соединений, чтобы обнаруживать и блокировать спам, размещенный на всех серверах, размещенных у них. Но если я перенаправляю входящие соединения на порт SMTP на другой из моих серверов, входящий спам становится исходящий спам (с точки зрения дата-центра) прежде, чем у него появится шанс быть отфильтрованным (на целевом сервере), и в результате мой хостинг-провайдер немедленно блокирует NAT-сервер.

Поэтому мне нужно также перевести номер порта, чтобы пересылать эти соединения.

Входящие и исходящие (NAT) пакеты используют один и тот же интерфейс. (потому что у этих серверов только один сетевой интерфейс).

На самом деле это работает более или менее, за исключением того, что порт перенаправляет соединения (и только эти, нет проблем на портах 110, 143 и т. д.) имеют странное поведение: они работают, когда я их использую в первый раз, но если я немедленно отключаюсь и снова подключаюсь, пересылка перестанет работать, и мне придется подождать от 1 до 3 минут, прежде чем возможность подключиться снова.

Похоже, это связано с IP-адресом, а не с номером порта: даже если предыдущее соединение было на порту 110 (pop3, а не перенаправленный порт), я должен дождаться той же задержки, прежде чем смогу подключиться к порту 25.

Я подтвердил, что на нескольких серверах, все из которых Linux Debian Wheezy, Джесси или Протяжение, и на обоих IPv4 и IPv6 (кроме Wheezy, которые не могут выполнять NAT IPv6). ……… Да, я знаю, что Wheezy теперь старый, поэтому я перехожу.

Все IP-адреса полностью статичны.

И да, я установил / proc / sys / net / ipv4 / ip_forward (и это эквивалент IPv6) на 1.

я использую телнет для проверки соединений, и я проверяю пересылку с помощью tcpdump. С помощью последнего я могу проверить, что переадресация действительно не выполнена, и что это не целевой сервер, который блокирует входящие соединения.

Может ли кто-нибудь помочь мне найти причину задержки блокировки на 1-3 минуты и как я могу ее исправить?

Гинкго