☰

仅从 DMZ 路由到内部网络

tag-icon • tag-icon router routing dd-wrt iptables dmz
仅从 DMZ 路由到内部网络

我有一个连接到 Verizon 的 FIOS 服务的家庭网络。Verizon 的 ActionTec 路由器通过同轴电缆连接到 ONT 以建立 MOCA 网络。我的 DD-WRT 路由器的 WAN 端口连接到 ActionTec 的一个 LAN 端口。DD-WRT 路由器配置了静态 IP 地址并分配给 DMZ（这样做是为了让我只需配置一次端口转发）。

我的问题是，这不允许连接到 DD-WRT 的计算机使用 Verizon 的媒体管理器向 MOCA 网络提供流式音频/视频。我知道媒体管理器使用端口18000、18001、5050， 和5060但是我不知道如何转发这些端口，以便它们仅适用于 ActionTec 的网络（即有线机顶盒），而不适用于互联网的其余部分。

为了便于讨论，当前内部使用的 IP 地址是：

192.168.1.1        - ActionTec Router
192.168.1.2        - DD-WRT Router's WAN port (assigned to DMZ)
192.168.1.100-.103 - Set-Top Boxes (STBs)
192.168.0.1        - DD-WRT's LAN address
192.168.0.151      - Computer running Media Manager

答案1

DD-WRT 的 Web 界面不支持限制要转发的数据的源 IP 地址。但是操作系统支持此功能，因此可以使用“iptables”命令在命令行（通过 SSH 访问）中配置它。我将把命令分成多行以便于阅读，但如果您真的要使用它们，它们应该都在同一行上。

首先在“nat”表的“PREROUTING”链中为每个 STB/端口组合创建规则。将这些规则插入到现有端口转发规则之后和最终“TRIGGER”规则之前，如下所示：

iptables 
   -t nat 
   -I PREROUTING 8 
  --source 192.168.1.100 
  --dst 192.168.1.2 -p tcp
  --dport 18000 
   -j DNAT 
  --to-destination 192.168.0.151:18000

对要从中接收数据的每个地址和端口组合执行此操作。每个命令的目标和目的地都相同。您可以为每个命令保留相同的规则编号 (8)，这样每个新条目都会将先前的条目向上推一个值。

然后将每个地址/端口组合添加到“过滤器”表的“FORWARD”链中。与前面一样，在现有转发端口之后和第一个“TRIGGER”之前添加这些规则，如下所示：

iptables 
   -I FORWARD 13 
   -t filter 
   -p udp 
   -s 192.168.1.100 
   -d 192.168.0.151
  --dport 18000
   -j ACCEPT

并且，与第一个命令一样，对每个 IP 地址和端口组合执行此操作。

这些规则应该只允许来自指定地址的传入消息在指定端口上接收。

以上回答了我实际提出的问题的核心。我实际上还没有在这个特定情况下使用它，但我相信那是因为 Verizon 在其软件中实施了某种检查，以排除转发的数据包，从而防止机顶盒直接从互联网中继流式数据。

答案2

您的 FiOS Actiontec 路由器使用 WAN MoCA 信号连接到 ONT，并使用 LAN MoCA 信号连接到 STB。路由器上的同轴电缆端口可以发送和接收 WAN 和 LAN MoCA 信号，但只有 LAN MoCA 信号对媒体管理器很重要。（在某些情况下，FiOS TV 客户可能在 FiOS 路由器和 ONT 之间建立 WAN 以太网连接，在这种情况下，家中的同轴电缆上不会出现 WAN MoCA 信号。但路由器和 STB 仍会生成 LAN MoCA 信号进行通信。）

如果您已将 Actiontec 路由器的 DMZ 设置为分配给 DD-WRT 路由器的 WAN 端口的静态 IP 地址，那么所做的就是将传入的互联网流量直接发送到您的 DD-WRT 路由器。

在此处输入图片描述

STB 通过 LAN MoCA 信号连接到您的 Actiontec 的 LAN 网络。您不需要在 Actiontec 路由器中为 Media Manager 设置 DMZ。如果您在 PC 或 DD-WRT 上运行需要接收来自互联网的传入流量的其他程序，则只需在 Actiontec 中设置 DMZ。

我不知道媒体管理器的具体工作原理，但我怀疑当您进入 STB 的媒体管理器菜单时，它会发送某种广播消息来查找 LAN 上运行媒体管理器软件的所有 PC。

您可以尝试关闭 Actiontec 中的 DMZ 并在 DD-WRT 中设置端口转发规则（或 DMZ），以将正确的媒体管理器端口上的传入连接发送到 DD-WRT LAN 上的一台 PC。

在此处输入图片描述

如果一切正常，那么只有一台 PC 可以与 STB 共享媒体。但是，我不确定媒体管理器中使用的通信是否适用于从 DD-WRT 的 WAN 端口到 LAN 端口的网络转换。

媒体管理器设计用于 Actiontec 上的 LAN 网络所连接的 STB 和 PC 之间。

相关内容