主页 / server / 问题 / 53370
In Process
andi
Asked: 2009-08-13 10:48:44 +0800 CST

GRE（IP 协议 47）NAT 规则似乎已过期

  • 772

我有一台机器通过永久 GRE 隧道连接到另一台主机。我已将机器放在 Linux 防火墙 (Smoothwall) 后面，并使用以下规则对机器的所有 GRE 数据包进行 NAT：

/sbin/iptables -t nat -A PREROUTING -p 47 --src $tunnel_server_ip -j DNAT --to-destination $false_ip
/sbin/iptables -t nat -A POSTROUTING -p 47 --src $false_ip -j SNAT --to-source $real_ip    
/sbin/iptables -t nat -A INPUT -p 47 -j ACCEPT

（参见Linux 路由器上的 NAT GRE（IP 协议 47））

一切正常，但是在隧道上闲置一段时间后，大约 15 分钟，我无法通过隧道从互联网连接到机器。在我将任何数据包从机器发送到互联网后，ping，在浏览器中打开一个网页，隧道再次被激活。作为一种解决方法，我现在使用启动 curl 到 Internet 页面的 cron 脚本。

请帮助我了解导致隧道停止运行的原因，并告诉我可以做些什么来替换 curl hack。

linux

2 个回答

  1. 您可能会遇到 conntrack 超时问题。我不知道是不是这样，看来您的规则不使用 conntrack 就足够了，但无论如何，您可能希望在隧道中保留一些流量以使其保持畅通。您不需要使用 curl 加载网页，一个简单的 ping 就足够了。

    如果您想尝试更大的 conntrack 超时，请尝试以下操作：

    sysctl net.netfilter.nf_conntrack_generic_timeout=7200
sysctl net.ipv4.netfilter.ip_conntrack_generic_timeout=7200

    其他一般注意事项：

    • -i <eth>向 PREROUTING 规则添加一个参数，-o <eth>向 POSTROUTING 规则添加一个参数通常是一种很好的做法。避免规则失灵并减少防火墙的负载。
    • INPUT 链式规则是无用的。此外，在 nat 表中使用 ACCEPT 目标也没有什么意义。也许您正在寻找的是过滤器（默认）表的 FORWARD 链中的类似规则。
    • 1

  2. 可能是您有一个动态或共享 IP，或者它是由您的 ISP 重新分配的？

    如果是这种情况，我担心您必须保留类似的技巧

    • 0

相关问题