如何设置 dnsmasq 以便连接到路由器的设备可以 ssh 到通过桌面连接的设备？

Question

您正在谈论将机器 A 变成路由器。 DNSMasq 是一个有用的组件，允许路由器向 dhcp 客户端分发 IP 地址，并提供名称服务器。然而，这本身还不够。

您需要在内核中启用数据包转发。sysctl net.ipv4.ip_forward=1使用 root 权限运行，例如 sudo。通过将其放在net.ipv4.ip_forward=1下面的某个位置使其永久化/etc/sysctl.d/，例如将其放在名为“routing.conf”的文件中。您可以通过运行来检查当前值sysctl net.ipv4.ip_forward。

您需要网络地址转换（NAT），又名伪装。如果您使用 iptables，则顶部需要一个如下所示的节（对于面向外的接口enps1s8）：

*nat
:PREROUTING     ACCEPT  [0:0]
:INPUT          ACCEPT  [0:0]
:OUTPUT         ACCEPT  [0:0]
:POSTROUTING    ACCEPT  [0:0]

-A POSTROUTING  -o enp1s8 -j MASQUERADE

COMMIT

除了在内核中启用转发并设置 NAT 之外，您还需要告诉防火墙接受数据包转发请求，因此对于 iptables 来说，有一些规则如下：

# Forward between client LAN and external WAN
-A FORWARD                                            -i enp1s5 -o enp1s8 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -i enp1s8 -o enp1s5 -j ACCEPT

最后，需要制定如何路由数据包的规则。这不是防火墙的问题，而是我会使用 iproute2。将其放入脚本中很方便：
```
$ cat /usr/local/sbin/add-lan-route
#! /usr/bin/ip -b

addr add 192.168.2.1 dev enp1s5
route add 192.168.2.1/24 via 192.168.2.1 dev enp1s5
```
机器 B（笔记本电脑）也想与机器 A（台式机）上的 dnsmasq 进行通信。因此需要更多的 iptables 规则来打开所需的端口。为了让事情井井有条，为此建立一个“链”是个好主意，但如果你对 iptables 没有信心，获得你想要的东西的最直接方法是这样的：
```
-A INPUT -p udp -s 192.168.2.0/24 -m multiport --dports 67,68 -m comment --comment "dhcp"    -j ACCEPT
-A INPUT -p tcp -s 192.168.2.0/24              --dport  53    -m comment --comment "dns-tcp" -j ACCEPT
-A INPUT -p udp -s 192.168.2.0/24              --dport  53    -m comment --comment "dns-udp" -j ACCEPT
```
最后，您希望机器 B 的 dhcp 客户端获取正确的 IP 地址，该地址可以由机器 A 上的 dnsmasq 分发。基本的 dnsmasq 配置可能如下所示：
```
interface=enp1s5
dhcp-range=192.168.2.2,192.168.2.254,255.255.255.0,1h
dhcp-host=20:cf:30:71:b2:7e,192.168.2.193,1h
cache-size=2048
```

缓存大小并不重要，它只是一个建议，您可以修改或放弃。其余的允许插入 enp1s5 的任何东西请求 IP 地址，如果它是机器 B 的 MAC，它将获得您首选的 IP 地址。您还应该查看默认的 dnsmasq 配置，因为它有很多注释需要考虑。

完成所有这些步骤后，您应该希望机器 A 充当路由器，它可以向机器 B 授予名称服务和 IP 地址，并通过 enp1s8 对互联网连接进行 NAT。

Answer 1