主页 / server / 问题 / 1079372
Accepted
user9123
Asked: 2021-10-03 05:44:13 +0800 CST

将接口的公共 IP “给予”给具有本地 IP 的另一台主机

  • 772

我有一台机器（运行 openSUSE Leap 15.3），它有多个公共 IP 地址，用作一些额外主机的网关。我需要让网关上的一个公共 IP 就像它属于连接到它的一台机器一样（流量被透明地转发）。

我iptables-save目前的输出如下（包括一些不相关的 Docker 规则，但敏感部分已编辑）：

# Generated by iptables-save v1.8.7
*filter
:INPUT ACCEPT [9747976:4527721149]
:FORWARD ACCEPT [12638879:4423560060]
:OUTPUT ACCEPT [8913992:2531503118]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed
# Generated by iptables-save v1.8.7
*nat
:PREROUTING ACCEPT [480085:188100350]
:INPUT ACCEPT [62951:4107383]
:OUTPUT ACCEPT [150:9857]
:POSTROUTING ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -i eth0 -j DNAT --to-destination 10.125.0.2
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed

据我所知，唯一相关的部分是：

-A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -i eth0 -j DNAT --to-destination 10.125.0.2
-A POSTROUTING -j MASQUERADE

这仍然存在许多问题：

  • 当内部机器启动出站连接时，它的 IP 被 NAT 为网关的主地址，而不是我试图给它的地址。
  • 接收连接时，它们似乎来自网关的本地 IP，而不是原始 IP（应该有解决方法，因为这是默认网关）。
  • 如果服务0.0.0.0在网关上侦听，则该端口上的连接不会被重定向，它们会转到该服务。

我试图将其他一些问题的答案拼接在一起，例如：

但是由于我缺乏重要的 iptables 经验，我无法解决我的问题，或者解决了一些只是为了让其他人弹出。

任何人都可以提出一些规则来达到这种效果吗？或者也许有一种方法可以在没有 iptables 的情况下做到这一点？

firewall linux networking iptables opensuse

1 个回答

  1. Best Answer

    当内部机器启动出站连接时，它的 IP 被 NAT 为网关的主地址，而不是我试图给它的地址。

    这应该通过以下方式解决：

    iptables -t nat -I POSTROUTING 1 -s 10.125.0.2 -o eth0 -j SNAT --to-source <FORWARD_IP>

    它被添加到前面，因此它会首先触发，检测数据包来自该系统并将其转换为指定的 IP，而不是从接口中选择地址。

    接收连接时，它们似乎来自网关的本地 IP，而不是原始 IP（应该有解决方法，因为这是默认网关）。

    此问题与以下 SNAT 规则有关：

    iptables -t nat -A POSTROUTING -j MASQUERADE

    它太宽了。您正在对每个方向的所有内容进行 SNAT ，这既不高效也不安全。它匹配所有内容，包括您的 DNATed 数据包。它们首先被目标转换为私有地址，然后它们的源被此规则转换为从分配了 10.xxx 地址的私有接口中挑选的地址。

    我怀疑您正试图用一条规则覆盖所有公共接口和所有专用网络。虽然 Linux（IP 集）中有地址列表，但没有接口列表，因此仅使用一条规则无法正确执行此操作。

    至少使用源地址过滤它（例如要源翻译哪些地址）：

    iptables -t nat -A POSTROUTING -s 10.125.0.0/24 -j MASQUERADE

    如果您有多个专用网络，请添加更多此类规则。

    我认为最好为每个公共接口创建一个单独的规则，这样通过私有接口发出的数据包永远不会得到源代码转换，无论它们拥有什么源地址，例如iptables -t nat -A POSTROUTING -s 10.125.0.0/24 -o eth0 -j MASQUERADE等等。这样从 10.xxx 到 172.xxx 的数据包也不会被转换，并且您在两个网络中的服务将直接看到彼此的 IP，仍然可以在 FORWARD 过滤器链中选择性地过滤它们。

    如果服务正在网关上的 0.0.0.0 上侦听，则该端口上的连接不会被重定向，它们会转到该服务。

    最后，我不完全理解这一点。我在评论里问，你没有回答。哪些连接，来自哪里，源 IP 是什么？

    DNAT 处理发生在路由决策之前，这就是为什么链被称为“PREROUTING”的原因。它从不检查是否有某个本地进程在该端口上侦听。本地服务有机会回答的唯一方法是让数据包通过 INPUT 链。为此，路由代码必须决定它是发往本地机器的，因此它必须是以太不翻译或翻译成该系统分配的某个地址。

    根据当前规则，从私有网络发送到公共 IP 的数据包不应被转换，因为它们不是通过eth0. 因此，他们将由当地服务机构提供服务。但这并不取决于本地服务是否正在运行；如果不是，您将收到“连接被拒绝”。

    如果您需要从 LAN 到 <FORWARD_IP> 的数据包按照相同的 DNAT 规则进行转换，请丢弃该-i eth0匹配项：

    iptables -A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -j DNAT --to-destination 10.125.0.2

    但是，我反对如此广泛的规则。在我看来，DNAT 规则最好尽可能严格，因此您最好通过 protos (tcp/udp) 和您在 10.125.0.2 上运行的服务的端口进行过滤。如果那是一个 web 服务器，只转发 tcp/80 和 tcp/443，像这样：iptables -A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.125.0.2.

    有什么问题？说，您正在使用 ping 检查某些内容。此 ping 结果将取决于此内部系统状态，它是您实际 ping 的系统。这令人困惑。这不是大多数系统管理员在 ping 路由器时期望看到的行为。所以最好让 ping 由主机回答。

    • 1

相关问题