主页 / unix / 问题 / 456378
Accepted
pericynthion
Asked: 2018-07-15 20:19:12 +0800 CST

nftables / iptables 规则通过接口重写源IP

  • 772

我有一个带有 Linux 服务器（Ubuntu 16.04，内核 4.13）和几个小工具的物理网络。每个小工具都有相同的不可更改的静态 IP，例如 192.168.0.222/24。我想通过任意 IP 协议（​​例如 ICMP ping 或自定义 UDP 协议）与所有这些小工具进行通信

幸运的是，我有一个连接服务器和小工具的托管网络交换机。我已将交换机配置为具有用于服务器的中继端口和用于每个小工具的访问端口，每个小工具位于不同的 VLAN（VID 11、12 等）上。

我已添加8021q到 /etc/modules 并在 /etc/network/interfaces 中设置 VLAN 条目：

auto eno2 # For switch management interface
iface eno2 inet static
  address 192.168.2.2/24

auto eno2.11 # Gadget 1 (only)
iface eno2 inet static
  address 192.168.0.1/24

#auto eno2.12 # Gadget 2 - disabled
#iface eno2 inet static
#  address 192.168.0.1/24

使用如上所示的条目，我可以与小工具 1（例如ping 192.168.0.222）通信，但看不到来自小工具 2 的任何流量。

但我希望能够同时与所有小工具进行通信，并且能够区分其中一个。他们不需要互相交谈。我正在考虑为每个小工具创建一个唯一的主机 IP 和子网，例如

Host IP & subnet    "Fake" gadget IP     Actual gadget IP    VLAN Interface
192.168.101.1/24    192.168.101.222      192.168.0.222       eno2.11
192.168.102.1/24    192.168.102.222      192.168.0.222       eno2.12

我会使用iptablesornftables来处理每个方向的翻译。然后我可以ping 192.168.101.222到达小工具 1 和ping 192.168.102.222小工具 2。从每个小工具的角度来看，它自己的 IP 仍然是 192.168.0.222，它会看到来自 192.168.0.1 的 ICMP 回显请求。

这似乎是 NAT 上的一个不寻常的变体。请注意，带有“假”IP 的流量不需要（也不应该）离开服务器——我们不会转发到网络上的其他东西。

  1. 这是解决问题的合理方法吗？
  2. 如何设置 /etc/network/interfaces 和 iptables 或 nftables 来实现这一点？
networking iptables

2 个回答

    1. 是的，这是合理的。

    2. 不幸的是，Linux DNAT（“目标重写 NAT”）仅限于预路由链。在您的情况下，这是一个 PITA，因为这意味着您：

      （一个）。在您的服务器上执行 DNAT，但是您只能从服务器外部使用这些地址，而不能从服务器本身使用这些地址；或者

      (b)。您通过制作网络命名空间来人为地创建上述情况，将网络命名空间通过 veth-pair 连接到服务器主命名空间，然后在网络命名空间内进行 DNAT。这意味着您的所有 VLAN 接口也都位于网络命名空间内。

    我不知道为什么 Linux 网络的人会这样做，但事实就是如此。只重写数据包的一般方法会非常方便......

    谷歌搜索“网络命名空间”和“iptables DNAT”，这应该足以让你开始（除非其他人比我有更多的时间写一个逐步的答案......）

    • 1
  2. Best Answer

    我能够使用以下nftables规则集来实现这一点（我必须nft从源代码构建为 Ubuntu 16.04 附带的 v0.5 不支持数据包字段修改）：

    table ip mytable {
        chain prerouting {
                type filter hook prerouting priority -300; policy accept;
                iifname "eno2.11" ip saddr 192.168.0.222 ip saddr set 192.168.101.222
                iifname "eno2.12" ip saddr 192.168.0.222 ip saddr set 192.168.102.222
                iifname "eno2.13" ip saddr 192.168.0.222 ip saddr set 192.168.103.222
        }

        chain output {
                type filter hook output priority -300; policy accept;
                ip daddr 192.168.101.222 ip daddr set 192.168.0.222
                ip daddr 192.168.102.222 ip daddr set 192.168.0.222
                ip daddr 192.168.103.222 ip daddr set 192.168.0.222
        }
}

    以及以下条目/etc/network/interfaces：

    auto eno2 # For switch management interface
iface eno2 inet static
  address 192.168.2.2/24

auto eno2.11
iface eno2.11 inet static
  address 192.168.101.1
  netmask 255.255.255.0

auto eno2.12
iface eno2.12 inet static
  address 192.168.102.1
  netmask 255.255.255.0

auto eno2.13
iface eno2.13 inet static
  address 192.168.103.1
  netmask 255.255.255.0

    这不会“解开”传出数据包的源 IP，即小工具仍将来自服务器的请求视为来自192.168.101.1等，192.168.102.1而不是192.168.0.1- 在我的应用程序中，这无关紧要，但它可能会通过附加规则来解决output链。

    • 1

相关问题