主页 / computer / 问题 / 1847170
Accepted
Nykau
Asked: 2024-06-26 23:19:44 +0800 CST

nftables 不会捕获已经见过的数据包

  • 772

我设置了一个分段的本地网络，其中每个段都划分为 VLAN，并且所有 VLAN 根部的交换机还充当所有 IP 段/VLAN 之间的路由器（交换机是运行 DNOS 9.14 的 Dell S4810）。 其中一个段是通向互联网的网关，互联网网关的本地 IP 地址是 S4810 的默认网关 IP 地址。 在将数据包转发到外部之前，它会应用 SNAT（伪装），以便转发到互联网的数据包具有默认路由器的公共地址作为源地址。 这里没什么特别的。 几乎所有事情似乎都按预期工作：任一段中的节点都可以联系其他段中的其他节点，它们都可以访问互联网并获得回复，并且该 LAN 之外的节点确实会看到正确的伪装源 IP 地址。

当 Internet 网关机器（不是 S4810）也运行带有 Proxmox 的虚拟机时，事情就变得棘手了。这台机器运行 Debian 12.5，并在通往 S4810 的物理接口之上配置了 VLAN 接口，并且 VLAN 接口本身被包装到桥接器中，每个 VLAN 一个。通往互联网的接口也包装在自己的桥接器中。我使用桥接器，以便 Proxmox VM 可以使用它们连接到任一网络。当这台机器上运行的虚拟机在 Internet 桥接器中具有虚拟接口时，它可以正确访问互联网，但源 IP 地址不需要 SNAT，也没有 SNAT。

当另一个虚拟机在其中一个 VLAN 接口/网桥上具有虚拟接口时，它可以访问相应 VLAN 中的其他计算机。此外，VLAN 段中的任何计算机都可以使用 S4810 作为默认网关毫无问题地访问互联网，包括虚拟机，只要它们不在互联网网关/Proxmox 虚拟机管理程序上运行，而是在任何其他 Proxmox 虚拟机管理程序计算机上运行。但是，当在互联网网关/Proxmox 虚拟机管理程序上运行的虚拟机想要通过其中一个 VLAN 访问互联网时，它无法这样做。就像其他按预期工作的机器一样，虚拟机配置为使用 S4810 作为默认网关。S4810 将从其接收到的任何发往互联网的数据包重定向到互联网网关/Proxmox 虚拟机管理程序，并且该网关应该使用伪装转发数据包。除了在这个精确场景中，伪装不适用

我可以看到数据包发往 S4810，我可以看到 S4810 将数据包发送回 Internet 网关，我可以tshark在 Internet 网关上看到该数据包两次（一次使用ttl 64，第二次使用ttl 62，即在执行第二次路由之后）但nftables的nat postrouting表（优先级srcnat）似乎只捕获了它一次，使用ttl 64，即在它被发送到任何地方之前，以及在需要应用伪装之前。当数据包返回并且需要应用伪装时，似乎 根本nftables看不到它，如表meta nftrace set 1顶部的规则nat postrouting和相应的nft monitor trace命令所断言的那样。结果，根本没有应用伪装，接收数据包的外部节点使用未经 SNAT 的源地址接收它，并且它无法发送回复。

是否有这样的功能，即nftables它只接受查看给定的数据包一次？如果是这样，我该如何停用它，以便在正确的时刻应用伪装？还是发生了其他完全不同的事情？我很乐意为您提供任何您需要的日志或捕获，以帮助我进行故障排除。

debian

1 个回答

  1. Best Answer

    它是iptables 和 nftables 的Netfilter nathook 1中特有的功能。

    Linux NAT 是有状态的，因为它有以下要求：例如，属于同一流的每个数据包都将被 SNAT 到相同的源地址：端口（即使影响端口选择的条件在流中发生改变），当然回复数据包将被正确地取消 NAT。

    因此，每个conntrack 状态都会记住 NAT 状态（与跟踪过滤规则的“新、相关、已建立”状态的 conntrack 相同）。只有流的第一个数据包会通过规则nat；在snat/ dnat/masquerade已应用或未应用到第一个数据包后，NAT 决策会存储在 conntrack 中，并自动应用于与该 conntrack 状态匹配的所有后续数据包，这意味着这些数据包不再通过钩子nat1 ，因此它们不会进行双重 NAT。

    （您可以在 中查看各州conntrack -L。）

    如果您有一个特别奇怪的设置，即相同的数据包两次通过相同的路由器（在相同的网络命名空间中），我的第一个想法是它们不应该被同一个路由器路由两次。 （我猜您可能启用了“将 iptables 规则应用于桥接数据包”？）

    可以解决这个问题，方法是当这些数据包第一次通过规则集时，在足够早的链中明确将这些数据包标记为“未跟踪”，这样它们就不会接触 conntrack（或 NAT），直到它们第二次回来。

    table inet foo {
    chain prerouting {
        type filter hook prerouting priority -300;
        # This should match the first group of packets but not the second
        iifname foo oifname bar notrack
    }
}

    或者，尝试（相对较新的）conntrack 区域功能 - ct zone set XXX（在使用 notrack 的同一链中）似乎允许将数据包标记为属于不同的流，如果它有效的话，这将是比 notrack 更好的方法。

    或者，将两种配置分成不同的网络命名空间。

    1 nftables 中的表名无关紧要——只有每个链的type nat hook ...设置决定数据包何时通过链。

    • 1

相关问题