主页 / unix / 问题 / 741579
Accepted
Oskar Stenberg
Asked: 2023-03-31 23:26:13 +0800 CST

用于 ipv6 dnat 的 nftables 匿名映射

  • 772

创建 dnat 规则时，可以指定以下命令：

nft 'add rule ip  twilight prerouting ip  daddr 1.2.3.0/24 dnat ip  prefix to ip  daddr map { 1.2.3.0/24 : 2.3.4.0/24 }'

然后获取映射地址的 dnat，例如1.2.3.4 -> 2.3.4.4. 此命令按预期运行，并根据此处的nftables v1.0.4 (Lester Gooch #3)答案运行。

如果我尝试对 ipv6 执行相同操作，请使用以下命令：

nft 'add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { [aa:bb:cc:dd::]/64 : [bb:cc:dd:ee::]/64 }'
nft 'add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { aa:bb:cc:dd::/64 : bb:cc:dd:ee::/64 }'
nft 'add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { "aa:bb:cc:dd::/64" : "bb:cc:dd:ee::/64" }'

然后，我收到以下错误消息：

Error: syntax error, unexpected newline
add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { [aa:bb:cc:dd::]/64 : [bb:cc:dd:ee::]/64 }
                                                                                                                                        ^
Error: syntax error, unexpected newline
add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { aa:bb:cc:dd::/64 : bb:cc:dd:ee::/64 }
                                                                                                                                    ^
Error: syntax error, unexpected newline
add rule ip6 twilight prerouting ip6 daddr aa:bb:cc:dd::/64 dnat ip6 prefix to ip6 daddr map { "aa:bb:cc:dd::/64" : "bb:cc:dd:ee::/64" }
                                                                                                                                        ^

有没有办法在 nftables 中制作匿名 ipv6 映射？

routing

1 个回答

  1. Best Answer

    TL;DR：您至少需要 nftables 版本 >= 1.0.5。

    在版本 1.0.5中：

          scanner: allow prefix in ip6 scope

    与此提交匹配：

    扫描仪：在 ip6 范围内允许前缀

    'ip6 prefix' 是有效语法，因此请确保扫描器在 ip6 上下文中也能识别它。

    还要添加测试用例。

    [...]

    diff --git a/tests/shell/testcases/sets/0046netmap_0 b/tests/shell/testcases/sets/0046netmap_0
index 2804a4a2..60bda401 100755
--- a/tests/shell/testcases/sets/0046netmap_0
+++ b/tests/shell/testcases/sets/0046netmap_0
@@ -8,6 +8,12 @@ EXPECTED="table ip x {
                           10.141.13.0/24 : 192.168.4.0/24 > }
             }
      }
+     table ip6 x {
+            chain y {
+                    type nat hook postrouting priority srcnat; policy accept;
+                    snat ip6 prefix to ip6 saddr map { 2001:db8:1111::/64 : 2001:db8:2222::/64 }
+            }
+     }
 "
 
 set -e

    对应的回归测试类似于OP的尝试。OP 的语法在这里使用 nftables 1.0.7 测试正常。

    • 1

相关问题