bao7uo's questions

我在 Raspberry Pi 3 上使用 Arch Linux（32 位版本）。

当我尝试向 中添加任何-j SNAT或-j DNAT规则时iptables，它不起作用 - 我收到一个错误

iptables: No change/target/match by that name

我通常对 iptables 没有问题。例如，标准INPUT，OUTPUT并且FORWARD有很多规则。此外，还POSTROUTING包含一条MASQUERADE运行良好的规则，允许内部 LAN 与 Internet 通信。

我SNAT在尝试允许互联网将流量发送到公共 IP 以到达内部网络上的机器时遇到了问题。当这不起作用时，我尝试了更简单的规则，但它们也不起作用。然后我尝试添加DNAT规则并遇到了同样的问题。

我可以将更复杂的规则添加到PREROUTINGandPOSTROUTING而无需指定-j DNATor-j SNAT然后它们将添加，并且计数器将增加。

以下是添加规则和错误-j SNAT的最简单尝试的一些示例。-j DNAT无论我尝试添加什么SNAT或规则，错误总是与下面显示的相同。DNAT

[root@hostname ~]# iptables -F PREROUTING -t nat
[root@hostname ~]# iptables -A PREROUTING -t nat -d $public_IP -j DNAT --to-destination $internal_IP
iptables: No chain/target/match by that name.

[root@hostname ~]# iptables -F POSTROUTING -t nat
[root@hostname ~]# iptables -A POSTROUTING -t nat -o teql+ -j SNAT --to-source $public_IP
iptables: No chain/target/match by that name.

Linux 详细信息和当前-t nat配置：

[root@hostname ~]# uname -a
Linux hostname.local 4.4.37-1-ARCH #1 SMP Fri Dec 9 19:03:41 MST 2016 armv7l GNU/Linux

[root@hostname ~]# iptables -nvL -t nat
Chain PREROUTING (policy ACCEPT 18 packets, 1184 bytes)
pkts bytes target     prot opt in     out     source               destination

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
600 37155 MASQUERADE  all  --  *      teql+   0.0.0.0/0            0.0.0.0/0
[root@hostname ~]#

以下是已加载内核模块的列表，如果有帮助，可能相关：

[root@hostname ~]# lsmod | grep ip
ipt_REJECT              1543  142
nf_reject_ipv4          3223  1 ipt_REJECT
ipt_MASQUERADE          1223  1
nf_nat_masquerade_ipv4  2893  1 ipt_MASQUERADE
iptable_nat             1812  1
nf_nat_ipv4             5573  1 iptable_nat
nf_nat                 15506  2 nf_nat_ipv4,nf_nat_masquerade_ipv4
nf_conntrack_ipv4      13768  7
nf_defrag_ipv4          1684  1 nf_conntrack_ipv4
nf_conntrack          101220  5 nf_nat,nf_nat_ipv4,xt_conntrack,nf_nat_masquerade_ipv4,nf_conntrack_ipv4
iptable_filter          1665  1
ip_tables              12280  2 iptable_filter,iptable_nat
x_tables               17670  5 ip_tables,ipt_MASQUERADE,xt_conntrack,iptable_filter,ipt_REJECT
ipv6                  370087  20

3.6 之前的 Linux Kernel 使用路由缓存来进行 IPv4 多路径路由，这意味着在两条单独的线路/ISP 之间进行路由非常容易。从 3.6 开始，算法更改为按数据包计算，这意味着需要一些路由表/规则/iptables 标记技巧来实现两条线路/ISP。

但是，如果您有两条具有相同 ISP 的线路，可以以平衡/故障转移方式在每个数据包的基础上将单个 IP 路由到两条线路，那么从 3.6 开始，您可以轻松实现线路绑定（在 IP 级别），因为每个数据包在两个方向上的路由。

从 4.4 开始，内核再次更改为基于源地址和目标地址的散列的基于流的负载平衡。

我目前正在运行内核 4.4.36，并且正在通过 PPPoE 连接使用多路径路由。我来自 ISP 的下游流量基于每个数据包通过两条单独的线路路由（一个 IP 沿两条线路路由）。这使我的下载速度比单行的速度更快。几乎将两条线的速度加在一起。它运行良好，Skype 视频、VoIP (UDP)、YouTube 等都运行良好。

由于拥有如此良好的下游体验，我想在上游尝试它，但我的上游流量是根据更新的基于流的算法在两个 ppp 设备（具有相同的 IP 地址）之间路由的。这意味着我无法达到比单行速度更快的上传速度。

有没有办法将当前内核配置为使用每包算法？或者其他一些方法来实现每包多路径路由？我是否需要恢复到较旧的内核（由于其他各种原因我不想这样做）？

我的 ISP 不支持多链接 ppp。

如果相关，我目前正在 Raspberry Pi 3 上运行 Arch Linux ARMv7。

我希望 Apache 监听特定接口上的链接本地 ipv6 地址。我的 httpd.conf 中有以下行：

Listen [fe80::a00:16ff:fe89:420f]:80

这基于此处的 Apache 文档：https ://httpd.apache.org/docs/2.4/bind.html “IPv6 地址必须用方括号括起来”

我的操作系统/Apache 版本详情如下：

$ httpd -v
Server version: Apache/2.4.18 (Unix)
Server built:   Dec 14 2015 08:05:54
$ uname -rv
4.3.3-3-ARCH #1 SMP PREEMPT Wed Jan 20 08:12:23 CET 2016

使用显示的结果journalctl -e是：

(22)无效参数：AH00072：make_sock：无法绑定到地址[fe80.....

IPv6 正在工作，因为我有 sshd 和 dnsmasq 监听。我尝试将两个不同的范围 ID 后缀附加到地址。您可以在和中使用接口 ID3或名称net1作为范围ID 。ping6sshd

$ ip addr | grep -Po "^\d: \S+"
1: lo:
2: net0:
3: net1:

$ for scopeid in 3 net1; do ping6 -c 1 fe80::a00:16ff:fe89:420f%$scopeid; done | grep loss
1 packets transmitted, 1 received, 0% packet loss, time 0ms
1 packets transmitted, 1 received, 0% packet loss, time 0ms

sshd_config 适用于：ListenAddress fe80::a00:16ff:fe89:420f%3

或者：ListenAddress fe80::a00:16ff:fe89:420f%net1

所以考虑到这一切，我在 httpd.conf 中尝试了以下内容

听 [fe80::a00:16ff:fe89:420f%3]:80

和Listen [fe80::a00:16ff:fe89:420f%net1]:80

添加任何一个 scopeid 都会导致 Apache 在其启动过程中更早地失败。journalctl -e解析 httpd.conf 时显示语法错误，如下所示：

AH00526：/etc/httpd/conf/httpd.conf 第 52 行的语法错误：
不支持范围 ID

如果我这样做，Apache 会在 localhost ipv6 上侦听Listen [::1]:80

我希望Listen 80让 Apache 绑定到 ipv4 和 ipv6，但事实并非如此。它只绑定到 ipv6 地址 - netstat 显示：

tcp6  0  0    :::80    :::*     LISTEN

在这种情况下，Apache 确实接受 net1 上链接本地地址上的请求。我必须指定0.0.0.0:80或特定的 ipv4 地址才能在 ipv4 上侦听。

那么，如何让 Apache 绑定到一个特定的链接本地地址（不是全部 - 我想避免监听其他接口），还是 Apache 无法监听链接本地 ipv6 地址？