主页 / unix / 问题 / 794080
Accepted
Luca De Feo
Asked: 2025-04-23 22:18:25 +0800 CST

systemd-nspawn 和 systemd-networkd 如何实现 NAT？

  • 772

我试图了解 systemd-nspawn 如何管理容器的互联网访问和端口转发。

我使用 搭建了一个 nspawn 容器，--network-veth并使用 进行了端口转发--port=80。主机和容器都运行 systemd-networkd。一切运行正常：容器可以访问互联网，并且 80 端口的传入流量会被转发到容器。

我想了解并检查 systemd 是如何管理这个问题的。我（天真地？）以为能在 iptables 中找到相关的规则，但运行后iptables -t ... -S发现主机和容器中的所有表都空了。我还运行了相同的命令nsenter来进入 veth 的网络命名空间，但仍然没有看到任何规则。

那么，systemd 不使用 Netfilter 进行 NAT/伪装吗？如果没有，它使用什么？

networking

1 个回答

  1. Best Answer

    iptables 已经被较新的nftables取代，如果可用，systemd 将使用它。

    因此，要查看 systemd 创建的规则，请尝试sudo nft list ruleset

    在我的机器上，运行着 systemd 257.5 和 nspawn 容器，我看到：

    ❯ sudo nft list table ip io.systemd.nat
table ip io.systemd.nat {
        set masq_saddr {
                type ipv4_addr
                flags interval
                elements = { 192.168.240.32/28 }
        }

        map map_port_ipport {
                type inet_proto . inet_service : ipv4_addr . inet_service
        }

        chain prerouting {
                type nat hook prerouting priority dstnat + 1; policy accept;
                fib daddr type local dnat ip to meta l4proto . th dport map @map_port_ipport
        }

        chain output {
                type nat hook output priority dstnat + 1; policy accept;
                ip daddr != 127.0.0.0/8 oif "lo" dnat ip to meta l4proto . th dport map @map_port_ipport
        }

        chain postrouting {
                type nat hook postrouting priority srcnat + 1; policy accept;
                ip saddr @masq_saddr masquerade
        }
}
    • 4

相关问题