主页 / server / 问题 / 1000628
Accepted
schmichri
Asked: 2020-01-28 12:44:33 +0800 CST

有没有办法限制 IPtables 伪装中的 Src 端口

  • 772

我在所有节点上的 iptables 中通过 kube-proxy 设置了以下链。

Chain KUBE-POSTROUTING (1 references)
target     prot opt source               destination
MASQUERADE  all  --  0.0.0.0/0            0.0.0.0/0            /* kubernetes service traffic requiring SNAT */

我所有的节点都位于提供商的无状态/静态防火墙后面。使用以下规则设置。

tcp_established: &tcp_established
  name: tcp established
  ip_version: ipv4
  dst_port: '32768-65535'
  action: accept
  protocol: tcp
  tcp_flags: ack

这意味着在端口 32768-65535 TCP / ACK 上只允许来自任何地方的流量，以确保来自出站流量的反向连接。

在我的所有节点（Ubuntu 16.04）上，设置了以下系统设置。

cat /proc/sys/net/ipv4/ip_local_port_range
32768   60999

当我尝试通过 curl 和 http 访问远程服务器时，我已经断开连接（TCP 虚假重传），来自低于 32768 的源端口。

3   1.051525000 80→20092 [SYN, ACK] Seq=0 Ack=1 Win=64876 Len=0 MSS=1336 SACK_PERM=1 TSval=1259153497 TSecr=1768475026 WS=128   THETARGETIP THESOURCEIP TCP 74

4   2.079464000 [TCP Spurious Retransmission] 20092→80 [SYN] Seq=0 Win=64240 Len=0 MSS=1460 SACK_PERM=1 TSval=1768476055 TSecr=0 WS=128 THESOURCEIP THETARGETIP TCP 74

有没有办法“告诉” iptables、kube-proxy 和/或内核使用 iptables masquarde 来限制源端口的范围？

iptables tcp kubernetes masquerade

1 个回答

  1. Best Answer

    MASQUERADE的文档记录了该--to-ports选项：

    --to-ports 选项用于设置用于传出数据包的源端口。...

    • 2

相关问题