如何将到达给定端口的所有流量转发到另一个端口？

如何将到达给定端口的所有流量转发到另一个端口？

定义布局和问题

布局

这是我正在尝试做的布局......

+--------+         +---------------------+         +----------------+
|  WAN   |  <--->  | 6789                |         |                |
| Client |         |       Gateway       |         |      Host      |
|        |         |                4567 |  <--->  |  2345 Service  |
+--------+         +---------------------+         +----------------+

我想透明地将所有到达端口 6789 的流量转发到端口 4567。WAN 上的客户端和主机上的服务应该对网关一无所知。

网关是带有 firewalld 的 Debian 10。

问题

我无法让流量到达网关上的端口 6789 以转发到端口 4567。

目前的设置

步骤 01 - 在防火墙上公开端口并确认端口已打开。

打开网关上的端口

1. 运行firewall-cmd命令：firewall-cmd --add-port=6789

2. 检查防火墙状态...

root@gateway:~# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: etho0
  sources: 
  services: dhcpv6-client http https ssh
  ports: 6789/tcp
  protocols: 
  masquerade: yes
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

3. 确认端口已打开。

• 在网关上，启动一个监听器：nc -vvlp 6789 &
• 确认监听器已启动...

root@gateway:~# netstat -tulnp | grep 6789
tcp        0      0 0.0.0.0:6789              0.0.0.0:*               LISTEN      2274/nc

• 从客户端，尝试到达网关：

client@client123:~$ nc -vvN gateway.example.org 6789
Connection to gateway.example.org 6789 port [tcp/*] succeeded!

结论：防火墙上的 6789 端口是开放的。

nc通过终止客户端和网关上的进程进行清理。

步骤 02 - 确认网关和主机上的服务之间的连接

root@gateway:~# telnet localhost 4567
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 backendhost.backendhost MyService (Debian/GNU)

结论：网关和主机上的服务之间的隧道是up的。

步骤 03 - 在网关上添加端口转发并检查防火墙状态

root@gateway:~# firewall-cmd --add-forward-port=port=6789:proto=tcp:toport=4567`
root@gateway:~# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: etho0
  sources: 
  services: dhcpv6-client ssh
  ports: 6789/tcp
  protocols: 
  masquerade: no
  forward-ports: port=6789:proto=tcp:toport=4567:toaddr=
  source-ports: 
  icmp-blocks: 
  rich rules: 

结论：端口转发在防火墙中。

此时，如果我尝试从客户端远程登录主机，我会得到......

client@client123:~$ telnet gateway.example.org 6789
Trying <IP_of_gateway>...
telnet: Unable to connect to remote host: Connection refused

在这一点上，我想看看我在上面的步骤 02 中看到了什么。

问题

这是我不确定的地方...

当我netstat -tulnp在网关上运行时，它不会显示任何正在侦听端口 6789 的内容。我不希望它出现，因为我没有运行任何侦听端口 6789 的服务。

我需要某种服务来监听 6789 端口吗？如果是这样，是什么？还是我在防火墙设置中遗漏了什么？我需要这里提到的某种透明代理吗？

我不会在这篇文章中加上我在过去几周读过的所有内容的链接，但如果有一篇文章有​​答案，请随时指出。

编辑

回应@AB

主机在防火墙后面运行。当主机启动时，它会使用 SSH 端口转发自动创建到网关的隧道。

这是主机在启动时运行的命令：ssh -N -R 4567:localhost:2345 [email protected]

该隧道已在步骤 02 中确认。虽然我之前没有提到，但客户端在与主机位于同一 LAN 时工作。

我正在努力使到达网关的流量成功传递到主机。网关是“透明的”。安全证书由主机持有，客户端应该认为它直接与主机对话。

我仍在努力学习这些术语，所以如果有更正确的方法来问这个问题，我当然愿意知道它是什么。