使用 iptables 创建 1:1 NAT

Question 1

首先，源 NAT 应该是：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j NETMAP --to 192.168.1.0/24

（POSTROUTING用-s火柴）

目标 NAT 应为：

iptables -t nat -A PREROUTING -d 192.168.1.0/24 -j NETMAP --to 192.168.10.0/24

（PREROUTING用-d火柴）

注意：据我所知，目标 NAT 规则仅适用于“新”流量（来自 LAN 内部）。源 NAT 规则足以满足返回流量的需要，因为其中任何一个的目标 NAT 都是由它“隐含”的。

但接下来的问题是一个：如何My Computer知道（“实际上” ）Primitive Router的流量应该去往哪里进行进一步的路由？192.168.1.0/24192.168.10.0/24Raspberry Pi 4

答案是，你需要Raspberry Pi 4响应的 ARP 请求192.168.1.0/24。

实现此目的的方法之一是设置所谓的“AnyIP”（至少这是我听说过的术语）。本质上，这意味着添加以下类型的子网路local由192.168.1.0/24：

ip r add local 192.168.1.0/24 dev eth0

注意：我不记得这是否可以在arp_ignore将 sysctl 设置为 eg 的情况下起作用1。

确保您使用 sysctl 启用了 IP（v4）转发，并且没有防火墙阻止Raspberry Pi 4您想要的转发流量（根据规则或链策略）。

Answer

首先，源 NAT 应该是：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j NETMAP --to 192.168.1.0/24

（POSTROUTING用-s火柴）

目标 NAT 应为：

iptables -t nat -A PREROUTING -d 192.168.1.0/24 -j NETMAP --to 192.168.10.0/24

（PREROUTING用-d火柴）

注意：据我所知，目标 NAT 规则仅适用于“新”流量（来自 LAN 内部）。源 NAT 规则足以满足返回流量的需要，因为其中任何一个的目标 NAT 都是由它“隐含”的。

但接下来的问题是一个：如何My Computer知道（“实际上” ）Primitive Router的流量应该去往哪里进行进一步的路由？192.168.1.0/24192.168.10.0/24Raspberry Pi 4

答案是，你需要Raspberry Pi 4响应的 ARP 请求192.168.1.0/24。

实现此目的的方法之一是设置所谓的“AnyIP”（至少这是我听说过的术语）。本质上，这意味着添加以下类型的子网路local由192.168.1.0/24：

ip r add local 192.168.1.0/24 dev eth0

注意：我不记得这是否可以在arp_ignore将 sysctl 设置为 eg 的情况下起作用1。

确保您使用 sysctl 启用了 IP（v4）转发，并且没有防火墙阻止Raspberry Pi 4您想要的转发流量（根据规则或链策略）。

Question 2

我正在尝试学习一些有关 Linux 中的 NAT 转换的知识，但是我还没有看到任何尽可能基础的概念验证。

这是我在台式电脑上通过 LAN 将另一台设备连接到它时用来“共享互联网”的基本脚本：

#!/bin/bash

# masquerade $1 (e.g. eth0, ppp0) as $2 (default wlan0)

INTIF="$1"
EXTIF=${2:-wlan0}

echo $INTIF $EXTIF

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -P INPUT ACCEPT
iptables -F INPUT
iptables -P OUTPUT ACCEPT
iptables -F OUTPUT 
iptables -P FORWARD DROP
iptables -F FORWARD 
iptables -t nat -F
iptables -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

您需要使用“内部”接口（需要 NAT 的客户端所在的网络）和“外部”接口（面向互联网）来调用它。内部接口的设置和 DHCP 等不包括在内（您只询问了 NAT）。

这给了我一个想法，在我的 Raspberry 4 上实现 1:1 NAT，其中 192.168.10.x/24 范围内的所有 IP 地址都会转换为 192.168.1.x/24 范围。

这比“基本 NAT”困难得多。

但您不必这样做，事实上，它无法很好地与您的原始路由器/Raspberry Pi 4 组合配合使用。相反，只需在 Raspberry Pi 4 上执行基本的 NAT。这意味着 192.168.10.*/24 上的所有内容都将 NAT 到 192.168.0.0，路由器会很好地理解这一点。

（在现实生活中，您只需连接两个交换机，并从路由器获得一个子网。顺便说一句，如果您的原始路由器可以使用 OpenWRT 等重新刷新，那么它也能进行路由）。

Answer