☰

主机AP

tag-icon • tag-icon linux iptables nat hostapd
主机AP

我的电脑配备了两个网络接口，wlan0& eth0，并且我想使用 WiFi 端口作为 上的接入点wlan0。

  • 我使用了hostapd该设施，它在本地网络内的路由模式下正常工作；用户可以连接到接入点，并且 DHCP 在两个段中都能正常工作。
  • 该 PChostapd没有任何防火墙或iptables规则（iptables并且防火墙已禁用），因为我只想使用 ADSL 路由器的内置防火墙。

我的网络配置如下：

  • PC with hostapd -> cable connection -> ADSL router
  • wlan0 -> eth0 <-> 192.168.0.1 <-> internet
  • 192.168.10.1 -> 192.168.0.7 -> static routing to 192.168.10.X

个人电脑ifconfig：

eth0  Link encap:Ethernet  HWaddr 00:12:3F:F2:31:65
      inet addr:192.168.0.7  Bcast:192.168.0.255  Mask:255.255.255.0
      inet6 addr: fe80::212:3fff:fef2:3165/64 Scope:Link
      UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
      RX packets:2169539 errors:0 dropped:0 overruns:0 frame:0
      TX packets:1008097 errors:0 dropped:0 overruns:0 carrier:0
      collisions:0 txqueuelen:1000
      RX bytes:3056198487 (2.8 GiB)  TX bytes:72727161 (69.3 MiB)
      Interrupt:16

lo    Link encap:Local Loopback
      inet addr:127.0.0.1  Mask:255.0.0.0
      inet6 addr: ::1/128 Scope:Host
      UP LOOPBACK RUNNING  MTU:65536  Metric:1
      RX packets:3398 errors:0 dropped:0 overruns:0 frame:0
      TX packets:3398 errors:0 dropped:0 overruns:0 carrier:0
      collisions:0 txqueuelen:0
      RX bytes:495444 (483.8 KiB)  TX bytes:495444 (483.8 KiB)

mon.wlan0  Link encap:UNSPEC  HWaddr 00-14-A5-04-94-3C-90-F0-00-00-00-00-00-00-00-00
      UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
      RX packets:151 errors:0 dropped:0 overruns:0 frame:0
      TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
      collisions:0 txqueuelen:1000
      RX bytes:17092 (16.6 KiB)  TX bytes:0 (0.0 b)

wlan0 Link encap:Ethernet  HWaddr 00:14:A5:04:94:3C
      inet addr:192.168.10.1  Bcast:192.168.10.255  Mask:255.255.255.0
      inet6 addr: fe80::214:a5ff:fe04:943c/64 Scope:Link
      UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
      RX packets:0 errors:0 dropped:0 overruns:0 frame:0
      TX packets:1502 errors:0 dropped:0 overruns:0 carrier:0
      collisions:0 txqueuelen:1000
      RX bytes:0 (0.0 b)  TX bytes:279392 (272.8 KiB)

如何iptables在 PC 上为其配置简单的 NAT 配置？

  • hostapd我希望所有通过（网络）连接到网络的用户192.168.10.X都能访问互联网
  • 我不想过滤任何流量，只想过滤 NAT。

我无法从 WiFi 段连接到互联网：

  • 连接到 WiFi 的客户端具有 DHCP 地址192.168.10.48，并且唯一的流量来自eth0以下地址： 
    16:50:14.671587 ARP, Request who-has 192.168.0.48 tell 192.168.0.1, length 46
    注意：地址不是192.168.0.48，192.168.10.48因此 Masquerade 似乎可以工作。
  • 我现在无法 ping 通192.168.0.1[ADSL 路由器]，而以前是可以 ping 通的。
  • 那么 WIFI 用户如何从互联网访问呢？当然，我会在 ADSL 路由器中进行设置，将互联网上的特定 IP 端口池转发到此类 WiFi 用户的特定 IP 地址。

编辑1：

  • systemctl显示iptables为： 
    iptables.service          loaded active exited
    尽管我跑了： 
    systemctl enable iptables.service
systemctl start iptables.service

编辑2：

  • 它可以工作，但是每次我启动计算机时，都必须通过启动脚本手动添加以下内容，这正常吗？ 
    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

答案1

我编写了一个适用于所有场合的防火墙。请在使用前阅读 README 和脚本。我包含了 HOSTAP 的必要规则

重要部件：

主机AP

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 
iptables -A FORWARD -i eth0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPT 
iptables -A FORWARD -i wlan0 -o eth0 -j ACCEPT

HostAP 需要以下几行都接受才能运行

iptables -A INPUT -j ACCEPT >> /dev/null 2>&1 
iptables -A OUTPUT -j ACCEPT >> /dev/null 2>&1

https://github.com/diveyez/fw.sh

答案2

最简单的形式：

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

这将允许所有 WiFi 用户访问到互联网。

当然假设你的其他路由设置已经完成，即：

  1. 内核中启用转发

    sysctl net.ipv4.ip_forward=1

  2. 已启用转发iptables：

    iptables -P FORWARD ACCEPT
iptables -F FORWARD

用于在出现问题时tcpdump -nn -i eth0观察流量，eth0查看其是否正确进行 NAT、是否返回响应等。

编辑： “每次启动计算机时我都必须手动添加（从启动脚本）...” 这取决于您使用的 Linux 发行版。遗憾的是，几乎每个发行版都有自己的防火墙工具 - 最终它们只是调用，iptables但出于某种原因，作者认为混淆 iptables 的工作方式正是用户想要的。

回答你的问题 - 最有可能的是，你的防火墙可以配置为自动添加此 NAT 规则。然而，具体方法在不同的 Linux 发行版之间毫无理由地有所不同。可悲的是，这是事实。

相关内容