主页 / server / 问题 / 1041173
Accepted
TCB13
Asked: 2020-11-04 12:42:36 +0800 CST

iptables：容器 NAT 和外部 IP

  • 772

我有一个 Debian 10 服务器（公共 IP 85.xxx.xxx.xxx 在）在网桥enp6s0上运行一堆LXC 容器。我制定了以下 iptables 规则，以便容器可以与外界通信：cbr0

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i cbr0 -j ACCEPT
iptables -A FORWARD -i cbr0 -o enp6s0 -j ACCEPT
iptables -A FORWARD -i enp6s0 -o cbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o enp6s0 -j MASQUERADE

我创建了一个包含nginx 的容器（10.0.0.1），并将传入的 http 流量重定向到该容器：

iptables -t nat -A PREROUTING -i enp6s0 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -A FORWARD -i enp6s0 -o cbr0 -p tcp --dport 80 -j ACCEPT

一切都按预期工作，我可以浏览容器等上的网站。

现在我创建了第二个容器（10.0.0.2），它需要从 nginx 容器中获取一些数据。如果我使用内部 10.0.0.1 IP 进行通信，我的第二个容器能够获取页面。但是，如果我尝试使用服务器的外部 IP：

root@second-container:~# nc example.com 80
example.com [85.xxx.xxx.xxx] 80 (http) : Connection refused

我目前的解决方法是为/etc/hostsnginx 托管的所有域手动添加条目，以便它们解析为 10.0.0.1 而不是其公共 IP。

我还需要哪些规则才能允许使用外部服务器 IP 进行通信？

谢谢你。

这是该问题的附加图表： 在此处输入图像描述

debian nat iptables containers

2 个回答

  1. Best Answer

    这是发夹路由的常见问题。正确的解决方案是使用本地地址设置本地 DNS，这样您就不会在 NAT 上浪费路由资源，这是资源密集型的。本地 DNS 应指向本地地址，以便流量保持本地并且可以桥接而不是路由。

    • 2

  2. 这是一个称为发夹式 NAT的常见问题。我通常更喜欢的解决方案是添加 SNAT（源地址转换）。因此，已经同时进行 DNAT 的设备将对同一个数据包进行 SNAT。

    开销是微乎其微的。而且，最重要的是，您可以让您的 DNS 纯粹、简单、可预测。

    • 0

相关问题