MAP-Eルータへの外部からのポート指定接続をNATで指定ホスト・ポートに転送(iptables)

map-e(ocn バーチャルコネクト)でDebian routerをinnternet接続し、外部からのポート指定した接続を、指定したホスト・ポートにDNATで転送してみました。前回のMAP-E ROUTER by Debian Box (iptables)の続きです。
構成は以下の通りです。

internet client <-----> router(10.22.22.22:4848｜192.168.1.1) <-----> (192.168.1.22:22) ssh server  

10.22.22.22は実際にはmap-eで割り当てられたパブリックIPアドレスに読み替えて下さい。また、ポート番号（サンプルは4848番）は、map-eで割り当てられたポートから割り振ってください。また、tun0 ( map-e デバイス ) には、割り当てられたパブリックIPアドレス/32を設定しておいて下さい。
設定は非常にシンプルです。

iptables -t nat -A PREROUTING  -p tcp -d 10.22.22.22  --dport 4848 -j DNAT --to-destination 192.168.1.22:22
iptables -t nat -A POSTROUTING -p tcp -d 192.168.1.22 --dport 22 -j SNAT --to-source 192.168.1.1

外部から10.22.22.22の4848ポートに接続すると、192.168.1.22のssh serverに転送します。ただし、このままでは、192.168.1.22に届いても、ソースアドレスには到達できないので、ソースアドレスをルータの内側インターフェースにして、map-e router 経由でパケットを返すようにしています。
特定の固定ポートでしか通信できない場合は対応できませんが、sshやhttpのようにポート番号を指定して接続できる場合は有効です。map-eはCE側(ユーザ宅内)でのNATであって、プロバイダー側でのNATではないので、ポート指定は必要ながらも、外部にサービスを公開することはできます。筆者はこのため、map-eであるOCNバーチャルコネクトを今回は採用した次第です。
簡単ですが、今回は以上です。ではまた。