主页 / server / 问题 / 404368
Accepted
w00t
Asked: 2012-07-04 05:13:41 +0800 CST

使用 DNAT 和 SNAT 进行端口转发而不接触其他数据包

  • 772

我有一个带有 iptables 的 Linux 网关，它可以进行路由和端口转发。我希望端口转发独立于路由发生。

为了转发，我将其添加到nat表中：

iptables -t nat -A "$PRE" -p tcp -d $GW --dport $fromPort -j DNAT --to-destination $toHost:$toPort
iptables -t nat -A "$POST" -p tcp -d $toHost --dport $toPort -j SNAT --to $SRC

$PRE并且POST实际上是我分别从PREROUTING和POSTROUTING链跳转到的特定于目的地的链，因此我可以保持 iptables 干净。$SRC是我要发送到的 IP 地址，它与网关 IP 不同$GW。

此设置的问题在于，未进行 DNAT 处理但碰巧进入同一$toHost:$toPort组合的常规路由数据包也将进行 SNAT 处理。

我希望避免这种情况。我可以做任何聪明的事情吗？

linux iptables

1 个回答

  1. Best Answer

    保持简单：您实际上不需要SNAT任何东西。通过这样做，每个数据包都将到达目标服务器，看起来像是来自您的防火墙，而不是来自原始客户端，这在大多数情况下不是您想要的。

    排除规则后SNAT，您不必担心它会匹配其他流量。

    注意：您的FORWARD规则必须与真实源 IP 和内部目标 IP 匹配，因为在应用规则FORWARD后到达链。DNAT

    编辑

    鉴于以下要求SNAT：只要您对DNAT规则匹配数据包的方式感到满意，那么您可以在此之前使用mangle标记这些相同数据包的规则：

    iptables -t mangle -A <mangle chain> -p tcp -d $GW --dport $fromPort -j MARK --set-mark 0x1

    然后你的SNAT规则所要做的就是匹配那些标记的数据包：

    iptables -t nat -A "$POST" -m mark --mark 0x1 -j SNAT --to $SRC

    如果您需要识别多个单独的流，您应该能够改变脚本中的标记以及$SRC.

    • 1

相关问题