主页 / unix / 问题 / 745265
Accepted
tobi_b
Asked: 2023-05-08 18:45:38 +0800 CST

Nftables：具有源地址限制和只有一张地图的 Dnat

  • 772

我们的路由器机器在其 WAN 接口上有多个公共 IP (/27)。现在，我想添加匹配特定dport/ saddr/daddr组合的 dnat 规则。我的梦想是这样的：

map one2one_dnat {
    # dst_addr     . src_addr  . proto      . dst_port     : dnat_to   . dnat_to_port
    type ipv4_addr . ipv4_addr . inet_proto . inet_service : ipv4_addr . inet_service
    flags interval
    counter
    comment "1-1 dnat"
    elements = {
        42.42.42.5 . 0.0.0.0/0 . tcp . 8888 : 10.42.42.5 . 8888
    }
}

# And then later in a chain
ip daddr . ip saddr . ip protocol . th dport dnat to @one2one_dnat

但是，这会导致：

root@XXX# nft -c -f assembled.nft
assembled.nft:252:59-60: Error: syntax error, unexpected to, expecting newline or semicolon
        ip daddr . ip saddr . ip protocol . th dport dnat to @one2one_dnat
                                                          ^^

以下语法示例确实有效（但不适用于预期的精美多合一地图）：

dnat ip addr . port to ip saddr . tcp dport map { 42.42.42.5 . 8888 : 10.42.42.5 . 8888}

# And even with saddr restrictions
ip saddr 0.0.0.0/0 dnat ip addr . port to ip saddr . tcp dport map { 42.42.42.5 . 8888 : 10.42.42.5 . 8888}

非常感谢任何想法/建议

nat

1 个回答

  1. Best Answer

    这个想法是在这里，但对命名地图案例使用了错误的语法，而对匿名地图案例使用了正确的语法。

    如果找到一个映射，则用该键的值替换该键（或者表达式的计算结果为 false，停止进一步处理）。即使沿着规则使用，名为keytovaluednat的映射也必须使用正确的语法：. 这 3 个部分将根据数据包的属性替换为值，并由规则的其他部分使用。key map @keytovalue

    OP 的尝试不遵循以下语法：

    ip daddr . ip saddr . ip protocol . th dport dnat to @one2one_dnat

    它应该这样写：

    dnat to ip daddr . ip saddr . ip protocol . th dport map @one2one_dnat

    毫不奇怪：它与匿名映射成功使用的语法相同：键（由连接组成）后跟关键字，map后跟映射引用（这是匿名情况下的定义）。dnat [to]将是结果 ip:port 值的消费者（仅当匹配发生时）。

    进一步说明。

    对于其他读者，这也需要最近足够的nftables支持，包括用户空间和内核部分，以便进行 NAT：nftables 0.9.4 和 Linux 内核 5.6：

    • 具有串联的 NAT 映射。这允许您从映射中指定要在 NAT 处理中使用的地址和端口，例如。

      nft add rule ip nat pre dnat ip addr . port to ip saddr map { 1.1.1.1 : 2.2.2.2 . 30 }

      您还可以将此新功能与命名集一起使用：

      nft add map ip nat destinations { type ipv4_addr . inet_service : ipv4_addr . inet_service \; }
nft add rule ip nat pre dnat ip addr . port to ip saddr . tcp dport map @destinations

    用concatenations 的语法替换type语法，这通常更适合可读性，并且避免必须弄清楚所有涉及的类型名称，其中一些类型名称记录不完整，目前似乎不适用于 OP 的情况：使用and appears至少在 nftables 1.0.7 和内核 6.1.x 中地图和规则之间会发生冲突。所以最好不要在这里使用并保留，否则将映射分成两个单独的映射，一个用于 UDP，一个用于 TCP，以避免这种冲突。typeofip protocolthtypeoftype

    类似的 IPv6 设置也可能需要拆分，因为ip6 nexthdr不能安全地用于替换ip protocol，并且正确的替换meta l4proto也不会一起玩。

    • 0

相关问题