NAT 중에서 DNAT 관련 질문입니다

안녕하세요`~

리눅스 서버 보안관리 실무책을 보면서 열심히 NAT 방화벽을 만들다가 막히는 부분이 있는데 도저히 해결이 안되어서 질문드립니다.

SNAT 기능은 이상없이 잘 되구요 문제는 DNAT인데

방화벽에서 eth0 - 211.237.16.84번이 공인 IP 이고 eth1 - 192.168.0.254 이 사설IP입니다.

문제는 211.237.16.84:3389 로 접속하면 192.168.0.24번의 윈도2000서버 터미널서비스로

연결하고 5900으로 접속하면 192.168.0.51의 윈도 2003서버의 VNC로 연결하려고 했습니다.

그런데....

안되더라구요. 클라이언트는 윈도 XP인데 원격데스크탑 연결을 사용하고 있습니다.

위의 두 서버 24번과 51번은 모두 게이트웨이를 254로 설정했습니다.

인터넷도 잘 사용하고 있구요.

소스는 아래와 같습니다.

커널 컴파일도 했구요. 커널은 RedHat Enterprise Linux AS 3 이고 커널은 2.4.27 입니다.

어떤 문제가 있는지 해결 좀 부탁드리겠습니다.

낼 모래가 추석인데 명절 잘 보내세요.

감사합니다.

#!/bin/bash
/bin/echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -t nat -F
iptables -t filter -F
iptables -t mangle -F

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP
iptables -A INPUT -i eth0 -s 255.255.255.255/32 -j DROP
iptables -A INPUT -i eth0 -s 0.0.0.0/8 -j DROP
iptables -A INPUT -i eth0 -s 169.254.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth0 -s 192.0.2.0/24 -j DROP
iptables -A INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth0 -s 224.0.0.0/4 -j DROP
iptables -A INPUT -i eth0 -s 240.0.0.0/5 -j DROP
iptables -A INPUT -i eth0 -s 248.0.0.0/5 -j DROP

iptables -A FORWARD -i eth0 -s 10.0.0.0/8 -j DROP
iptables -A FORWARD -i eth0 -s 255.255.255.255/32 -j DROP
iptables -A FORWARD -i eth0 -s 0.0.0.0/8 -j DROP
iptables -A FORWARD -i eth0 -s 169.254.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 172.16.0.0/12 -j DROP
iptables -A FORWARD -i eth0 -s 192.0.2.0/24 -j DROP
iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 224.0.0.0/4 -j DROP
iptables -A FORWARD -i eth0 -s 240.0.0.0/5 -j DROP
iptables -A FORWARD -i eth0 -s 248.0.0.0/5 -j DROP

iptables -A OUTPUT -d 10.0.0.0/8 -j DROP
iptables -A OUTPUT -d 255.255.255.255/32 -j DROP
iptables -A OUTPUT -d 0.0.0.0/8 -j DROP
iptables -A OUTPUT -d 169.254.0.0/16 -j DROP
iptables -A OUTPUT -d 172.16.0.0/12 -j DROP
iptables -A OUTPUT -d 192.0.2.0/24 -j DROP
iptables -A OUTPUT -o eth0 -d 192.168.0.0/16 -j DROP
iptables -A OUTPUT -d 224.0.0.0/4 -j DROP
iptables -A OUTPUT -d 240.0.0.0/5 -j DROP
iptables -A OUTPUT -d 248.0.0.0/5 -j DROP

iptables -A FORWARD -i eth1 -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -s 211.237.16.82 -j ACCEPT
iptables -A INPUT -i eth0 -s 211.237.16.83 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j SNAT --to 211.237.16.84
iptables -t nat -A PREROUTING -d 211.237.16.84 -p TCP --dport 3389 -j DNAT --to 192.168.0.24:3389
iptables -t nat -A PREROUTING -d 211.237.16.84 -p TCP --dport 8900 -j DNAT --to 192.168.0.51:8900
iptables -A INPUT -p TCP --sport 1024: --dport 21 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p TCP ! --syn --sport 21 --dport 1024: -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p TCP --sport 20 --dport 1024: -m state --state RELATED -j ACCEPT
iptables -A INPUT -p TCP ! --syn --sport 1024: --dport 20 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p TCP --sport 1024: --dport 1024 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p TCP ! --syn --sport 1024: --dport 1024: -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p TCP -s 0/0 --sport 1024:65535 --dport 21 -m state --state NEW -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p TCP ! --syn -m state --state NEW -j DROP
iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP

iptables -N icmp_handle
iptables -F icmp_handle
iptables -A icmp_handle -p ICMP --icmp-type echo-reply -j ACCEPT
iptables -A icmp_handle -p ICMP --icmp-type network-unreachable -m limit --limit 1/s --limit-burst 5 -j ACCEPT

iptables -N mac-filter
iptables -A INPUT -j mac-filter
iptables -A mac-filter -m mac --mac-source 00:C0:9F:4A:23:8D -j ACCEPT