主页 / user-462421

user9123's questions

Martin Hope
user9123
Asked: 2021-10-03 05:44:13 +0800 CST
  • 0

我有一台机器（运行 openSUSE Leap 15.3），它有多个公共 IP 地址，用作一些额外主机的网关。我需要让网关上的一个公共 IP 就像它属于连接到它的一台机器一样（流量被透明地转发）。

我iptables-save目前的输出如下（包括一些不相关的 Docker 规则，但敏感部分已编辑）：

# Generated by iptables-save v1.8.7
*filter
:INPUT ACCEPT [9747976:4527721149]
:FORWARD ACCEPT [12638879:4423560060]
:OUTPUT ACCEPT [8913992:2531503118]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed
# Generated by iptables-save v1.8.7
*nat
:PREROUTING ACCEPT [480085:188100350]
:INPUT ACCEPT [62951:4107383]
:OUTPUT ACCEPT [150:9857]
:POSTROUTING ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -i eth0 -j DNAT --to-destination 10.125.0.2
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed

据我所知，唯一相关的部分是：

-A PREROUTING -d <REDACTED_FORWARDING_IP>/32 -i eth0 -j DNAT --to-destination 10.125.0.2
-A POSTROUTING -j MASQUERADE

这仍然存在许多问题：

  • 当内部机器启动出站连接时，它的 IP 被 NAT 为网关的主地址，而不是我试图给它的地址。
  • 接收连接时，它们似乎来自网关的本地 IP，而不是原始 IP（应该有解决方法，因为这是默认网关）。
  • 如果服务0.0.0.0在网关上侦听，则该端口上的连接不会被重定向，它们会转到该服务。

我试图将其他一些问题的答案拼接在一起，例如：

但是由于我缺乏重要的 iptables 经验，我无法解决我的问题，或者解决了一些只是为了让其他人弹出。

任何人都可以提出一些规则来达到这种效果吗？或者也许有一种方法可以在没有 iptables 的情况下做到这一点？

firewall linux networking iptables opensuse