主页 / unix / 问题 / 760179
Accepted
MrSnrub
Asked: 2023-10-30 12:19:56 +0800 CST

具有 2 个外部 WAN IP A+B 和多个内部 LAN 的 NAT 路由器：让 1 个 LAN 使用外部 IP 地址 B，所有其他 A

  • 772

我有一个简单的 Linux 路由器，具有多个 NIC 并启用了 IPv4 转发。

路由器有两个静态 WAN IP 地址，分配给一个接口 ( eth0, eth0:0)。（在下面的文本中，我将混淆实际的公共 IP 地址（257 作为一个八位字节）。）

可以从外部 Internet 对两个外部 WAN IP 地址执行 ping 操作。

接口：

  • eth0：互联网连接，134.257.10。10月24日，网关134.257.10.1
  • eth0:0：该接口上的第二个 IP 地址：134.257.10。20 /24
  • eth1：局域网1、192.168.1.1/24
  • eth2：局域网2、192.168.2.1/24
  • eth3：局域网3、192.168.3.1/24

我的设置有效，所有 LAN 客户端 (LAN 1-3) 都可以访问 Internet，并且在外部显示为 134.257.10。10 . 此外，我有两个传入端口转发。

我的 iptables NAT 表如下所示：

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
# Port forwarding:
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80
-A PREROUTING -i eth0:0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT

如何让 LAN3 客户端 ( eth3) 显示为 134.257.10。20在 Internet ( eth0:0) 上用于传出连接，而不是 134.257.10。10 ( eth0)?

iptables

1 个回答

  1. Best Answer

    使用 SNAT 代替 MASQUERADE

    ...以便选择默认值以外的其他内容。

    不要对一般情况（所有其他 LAN）使用 MASQUERADE，而是为 LAN3 客户端添加 SNAT 例外。这必须在其他 nat/POSTROUTING 规则之前匹配才能覆盖它，因此在-I下面使用，而不是-A应用于现有规则集上的正确位置（注意伪造的 257）：

    iptables -t nat -I POSTROUTING -s 192.168.3.0/24 -o eth0 -j SNAT --to-source 134.257.10.20

    iptables（与nftables相反）无法匹配POSTROUTING 挂钩中路由数据包的输入-i eth3接口，因此不能在上面使用，而是通过检查原始 IP 地址源来完成匹配。

    解决问题eth0:0

    在此过程中，修复所谓的别名接口名称的错误使用，该概念的存在只是为了与 Linux 的ifconfig命令兼容，该命令在 Linux 上已经过时了 20 多年，但仍然存在。事实上，在 Linux 上，ifconfig一个接口上无法处理多个 IPv4 地址，而这一解决方法已经可以解决这个问题。eth0:0实际上，除了 之外，其他任何东西（包括内核）都会将地址 134.257.10.20/24 视为与关联的标签一起ifconfig设置。这个辅助地址可以像这样添加（在主地址已经就位之后）与现代等效：eth0eth0:0ip addr

    ip addr add 134.257.10.20/24 brd + label eth0:0 dev eth0

    这很重要，因为iptables无法与使用eth0:0. 因此必须用iptables替换它，并检查接口：eth0加上同一规则中的 IP 地址检查。

    因此，如果端口 80 仅针对第一个公共 IP 地址而不是两者都到达 192.168.1.10:80，请替换：

    -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80

    和：

    -A PREROUTING -i eth0 -d 134.257.10.10 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80

    如果两个地址都适用，那么初始规则就可以。

    但可以肯定的是，端口 25 的规则应该重写如下：

    -A PREROUTING -i eth0 -d 134.257.10.20 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25

    必须在实际接口 ( eth0)和地址上进行匹配，因为这就是eth0:0：地址而不是接口。

    最终的规则集变为（当然要注意伪造的 257）：

    *nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 134.257.10.10/32 -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80
-A PREROUTING -d 134.257.10.20/32 -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25
-A POSTROUTING -s 192.168.3.0/24 -o eth0 -j SNAT --to-source 134.257.10.20
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
    • 3

相关问题