Debian 7 上 IP 从一个接口转发到另一个接口

Question 1

这不是一个真正的答案，但有两个提示不适合评论格式：

当您ping这样时，数据包不会穿过FORWARD链，而是直接穿过OUTPUT链，因此您实际上并没有测试防火墙设置 FWIW。

由于同样的原因（虽然我不太确定），另一个可能出现的问题是由于数据包是在本地主机上生成的，而不是转发，伪装不适用于它，因此它在堆栈发送它时应该会被内核杀死wlan3——因为对于该网络，在私有子网中具有源地址的数据包将是“火星”的，并且路由器明确禁止发送此类数据包不管怎样，即使这个数据包被发送，它也会85.5.48.1因为同样的原因被网关杀死。

为了证明或反驳这一假设，请tcpdump在传出接口上使用：
1. 跑步
```
 # tcpdump -i wlan3 -n icmp
```
2. 像前面一样进行 ping 操作，查看是否会在线路上看到任何 ICMP 回显请求，如果是，则查看它们的 IP 标头中包含哪些地址。
您的防火墙设置已将其链的策略FORWARD设置为ACCEPT。如果这对于您的设置没有问题，则没有必要向该链添加显式规则，因为无论如何一切都是允许的。

另一方面，您可以考虑将该策略设置为DROP。大多数设置都有针对INPUT和FORWARD设置为的策略DROP，然后仅允许明确类型的流量。

但请注意，在您使转发正常工作时，没有规则（有ACCEPT策略）是可以的。之后，请考虑收紧设置。

Answer

这不是一个真正的答案，但有两个提示不适合评论格式：

当您ping这样时，数据包不会穿过FORWARD链，而是直接穿过OUTPUT链，因此您实际上并没有测试防火墙设置 FWIW。

由于同样的原因（虽然我不太确定），另一个可能出现的问题是由于数据包是在本地主机上生成的，而不是转发，伪装不适用于它，因此它在堆栈发送它时应该会被内核杀死wlan3——因为对于该网络，在私有子网中具有源地址的数据包将是“火星”的，并且路由器明确禁止发送此类数据包不管怎样，即使这个数据包被发送，它也会85.5.48.1因为同样的原因被网关杀死。

为了证明或反驳这一假设，请tcpdump在传出接口上使用：
1. 跑步
```
 # tcpdump -i wlan3 -n icmp
```
2. 像前面一样进行 ping 操作，查看是否会在线路上看到任何 ICMP 回显请求，如果是，则查看它们的 IP 标头中包含哪些地址。
您的防火墙设置已将其链的策略FORWARD设置为ACCEPT。如果这对于您的设置没有问题，则没有必要向该链添加显式规则，因为无论如何一切都是允许的。

另一方面，您可以考虑将该策略设置为DROP。大多数设置都有针对INPUT和FORWARD设置为的策略DROP，然后仅允许明确类型的流量。

但请注意，在您使转发正常工作时，没有规则（有ACCEPT策略）是可以的。之后，请考虑收紧设置。

Question 2

我首先要删除你的两个 FORWARD 表规则

sudo iptables -A FORWARD -i wlan3 -o wlan2 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i wlan2 -o wlan3 -j ACCEPT

只需保留简单的 NAT 规则

sudo iptables -t nat -A POSTROUTING -o wlan3 -j MASQUERADE

现在让我们开始工作；之后我们可以想出更好的规则来保护 wlan3 网络

Answer

我首先要删除你的两个 FORWARD 表规则

sudo iptables -A FORWARD -i wlan3 -o wlan2 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i wlan2 -o wlan3 -j ACCEPT

只需保留简单的 NAT 规则

sudo iptables -t nat -A POSTROUTING -o wlan3 -j MASQUERADE

现在让我们开始工作；之后我们可以想出更好的规则来保护 wlan3 网络

Question 3

在这样的问题中很容易忽略一些东西，但这正是引起我注意的：

在/etc/网络/接口，您尚未为定义默认网关wlan2。的默认网关wlan2应与 IP 地址本身相同，因为转发框将是路由器。

auto wlan2
iface wlan2 inet static
    address 192.168.5.1
    network 192.168.5.0
    netmask 255.255.255.0
    gateway 192.168.5.1

编辑：我刚刚注意到wlan3在的输出中也没有网关ip route。之前没注意到。wlan3还必须通过 DHCP 或手动配置网关。此网关将是该网络的路由器，这不是我们在这里讨论的框。

您能否检查以下操作是否有效？

ping -I wlan3 google.com

如果没有的话，说明你的盒子没有正确配置为访问互联网，因此 NAT 也无法工作。

Answer