主页 / server / 问题 / 807230
Accepted
Coxer
Asked: 2016-10-06 04:41:53 +0800 CST

共享 Internet 连接上的连接被拒绝

  • 772

下图显示了我的网络拓扑。 施马特 我现在想使用 wlan0 将来自 10.8.0.15 的所有 http 流量通过 10.8.0.42 路由到外部世界。不幸的是，在 iptables 和路由方面，我是个菜鸟。谁能指出我正确的方向？

编辑：到目前为止，我在 10.8.0.15 上执行了以下命令

sudo ip rule add fwmark 2 table 3
sudo ip route add default via 10.8.0.42 table 3
sudo ip route flush cache
sudo iptables -t mangle -A OUTPUT -p tcp --dport 80 -j MARK --set-mark 2
sudo iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 10.8.0.15
sudo sysctl -w net.ipv4.conf.eth0.rp_filter=2
sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination 10.8.0.42

以及 10.8.0.42 上的以下内容

sudo iptables -I FORWARD -i eth0 -o wlan0 -s 10.8.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
sudo iptables -I FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
sudo sysctl -w net.ipv4.ip_forward=1

当我现在想在 10.8.0.15 上测试连接时，我得到以下信息

curl http://freegeoip.net/json/
curl: (7) Failed to connect to freegeoip.net port 80: Connection refused

和 10.8.0.42 上的 tcpdump 显示

sudo tcpdump -n -i eth0 -s 0 src or dst port 80
10:05:18.552329 IP 10.8.0.15.36186 > 10.8.0.42.80: Flags [S], seq 460236380, win 29200, options [mss 1308,sackOK,TS val 22927 ecr 0,nop,wscale 6], length 0
10:05:18.552612 IP 10.8.0.42.80 > 10.8.0.15.36186: Flags [R.], seq 0, ack 460236381, win 0, length 0
10:05:19.068397 IP 10.8.0.15.50052 > 10.8.0.42.80: Flags [S], seq 2824330189, win 29200, options [mss 1308,sackOK,TS val 22969 ecr 0,nop,wscale 6], length 0
10:05:19.068674 IP 10.8.0.42.80 > 10.8.0.15.50052: Flags [R.], seq 0, ack 2824330190, win 0, length 0

此设置的目的是使用网络中的任意客户端作为 Internet 网关。虽然图中只有 10.8.0.42，但可能有多个这样的客户端，每个客户端都有自己的专用互联网访问权限，其他客户端可能会使用这些客户端。

更新：我现在按照下面的建议测试了以下配置。

盒子0：

sudo ip route add default via 10.8.0.42 dev tun0 table 3
sudo ip rule add fwmark 2 table 3
sudo ip route flush cache
sudo iptables -A OUTPUT -t mangle -p tcp --dport 80 -j MARK --set-mark 2
sudo sysctl -w net.ipv4.conf.eth0.rp_filter=0
sudo iptables -A POSTROUTING -t nat -o eth0 -p tcp --dport 80 -j SNAT --to-source 10.8.0.15
sudo iptables -A POSTROUTING -t nat -o eth0 -p tcp --dport 443 -j SNAT --to-source 10.8.0.15

框1：

sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -A POSTROUTING -t nat -s 10.8.0.0/24 -p tcp --dport 80 -j SNAT --to-source 192.168.0.2
sudo iptables -A POSTROUTING -t nat -s 10.8.0.0/24 -p tcp --dport 443 -j SNAT --to-source 192.168.0.2

box1 上的 tcpdump 输出保持不变：

12:24:05.788127 IP 10.8.0.15.45844 > 10.8.0.42.80: Flags [S], seq 4169666416, win 29200, options [mss 1308,sackOK,TS val 15420789 ecr 0,nop,wscale 6], length 0
12:24:05.788414 IP 10.8.0.42.80 > 10.8.0.15.45844: Flags [R.], seq 0, ack 4169666417, win 0, length 0
12:24:06.786406 IP 10.8.0.15.45844 > 10.8.0.42.80: Flags [S], seq 4169666416, win 29200, options [mss 1308,sackOK,TS val 15420889 ecr 0,nop,wscale 6], length 0
12:24:06.786694 IP 10.8.0.42.80 > 10.8.0.15.45844: Flags [R.], seq 0, ack 1, win 0, length 0
12:24:08.789821 IP 10.8.0.15.45844 > 10.8.0.42.80: Flags [S], seq 4169666416, win 29200, options [mss 1308,sackOK,TS val 15421089 ecr 0,nop,wscale 6], length 0
12:24:08.790111 IP 10.8.0.42.80 > 10.8.0.15.45844: Flags [R.], seq 0, ack 1, win 0, length 0

box0 上的 tcpdump 输出：

11:26:14.220391 IP 10.8.0.15.33420 > 158.69.242.138.80: Flags [S], seq 2659446178, win 29200, options [mss 1460,sackOK,TS val 15433635 ecr 0,nop,wscale 6], length 0
11:26:14.308915 IP 10.8.0.42.80 > 10.8.0.15.33420: Flags [R.], seq 0, ack 2659446179, win 0, length 0
11:26:15.211761 IP 10.8.0.15.33420 > 158.69.242.138.80: Flags [S], seq 2659446178, win 29200, options [mss 1460,sackOK,TS val 15433735 ecr 0,nop,wscale 6], length 0
11:26:15.337652 IP 10.8.0.42.80 > 10.8.0.15.33420: Flags [R.], seq 0, ack 1, win 0, length 0

我想主要问题是 tcp 数据包到达 box1 时的目的地是 10.8.0.42，而不是 http 请求的 URL 的 IP（这里：158.69.242.138）。但是我看不到这个目的地在哪里被改变了。

unix iptables route

2 个回答

  1. Best Answer

    在我看来，您似乎希望主机eth0和wlan0接口对源自eth0所连接网络中设备的 http 流量进行 SNAT。

    你可以这样做：

    在 host 上10.8.0.15，您设置10.8.0.42为默认网关：

    ip route add default via 10.8.0.42 dev eth0

    在 host10.8.0.42上，启用 SNAT：

    iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -p tcp --dport 80 -j SNAT --to-source 192.168.0.2
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -p tcp --dport 443 -j SNAT --to-source 192.168.0.2

    这将为端口 80 和 443（即 http 和 https）启用 NAT。您可以添加更多端口。如果您希望通过相同的路径解析 DNS，则需要为其添加规则等。

    如果您想通过该接口路由所有流量，您可以简单地使用：

    iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source 192.168.0.2

    编辑：添加了反映更新问题的信息：

    您问题中的这些行应该使客户端设备将 http/https 流量路由到另一个网关：

    sudo ip rule add fwmark 2 table 3
sudo ip route add default via 10.8.0.42 table 3
sudo ip route flush cache
sudo iptables -t mangle -A OUTPUT -p tcp --dport 80 -j MARK --set-mark 2

    编辑：客户端设备上的路由可以使用此答案中给出的说明进行处理：https ://unix.stackexchange.com/questions/21093/output-traffic-on-different-interfaces-based-on-destination-port# 21118

    基本上它与您的问题相同，除了不需要的最后一个 DNAT 规则。

    • 1

  2. 该规则sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination 10.8.0.42会将所有 http 流量重定向到 10.8.0.42（有目的地），而不是通过 10.8.0.42（路由到）。正如您在 tcpdump 中看到的，服务器 10.8.0.42 不接受端口 80 上的连接。

    您可以删除此规则。

    • 0

相关问题