更新

Question 1

我知道这有点晚了，但是……楼主知道它负责那个IP？这是我放在我创建的规则文件顶部的架构。您可以在其他地方找到类似的流程图，但以 ASCII 格式显示（不想称其为艺术；））在终端上可能非常有用。

大多数情况下，我心里都知道这一点，但是，嘿，如果忘记了，有一个参考也没什么坏处。

###############################################################################
###
###            PACKET FLOW THROUGH NETFILTER TABLES AND CHAINS
###
###
###                          {Packet in}
###                               |
###                               v
###                       +-----------------+
###                       |mangle/PREROUTING|
###                       +-----------------+
###                               |
###                               v
###                       +-----------------+
###                       |  nat/PREROUTING |
###                       +-----------------+
###                               |
###                               v
###                       *~~~~~~~~~~~~~~~~~*
###                       |  kernel routing |
###                       *~~~~~~~~~~~~~~~~~*
###                               |
###                               v
###           .------------{?for this host?}------------.
###      yes! |                                         | no!
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   mangle/INPUT  |                       |  mangle/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   filter/INPUT  |                       |  filter/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         |
### *~~~~~~~~~~~~~~~~~~~~*                              |
### | response & routing |                              |
### *~~~~~~~~~~~~~~~~~~~~*                              |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  mangle/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |    nat/OUTPUT   |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  filter/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           .-------------------+---------------------.
###                               |
###                               v
###                      +------------------+
###                      |mangle/POSTROUTING|
###                      +------------------+
###                               |
###                               v
###                      +------------------+
###                      |  nat/POSTROUTING |
###                      +------------------+
###                               |
###                               v
###                          {Packet out}
###
###############################################################################

这是什么意思？

路由可以使用路由表（上面流程图中的“内核路由”）或使用 netfilter 进行。现在，如果 - 这是您的情况最有可能的情况 - 您没有相应地设置路由表，内核将不知道数据包必须去往何处并最终将其丢弃。顺便说一句：在这种情况下，创建一个自定义链非常有用，LOG然后DROP按该顺序添加规则。这样您就可以看到哪些规则受到了影响。同样有用的是iptables-save -c将数据包和字节计数器添加到每个规则行，类似于它为链附加它的方式（格式[packets:bytes]）。

对于通过我转发到虚拟机的端口，DNAT我有以下配方（将在下面解释）：

#!/bin/bash
VMNET=192.168.1.0/24
MAINIP=66.249.67.195
CONTIP=192.168.1.2
VMPORT=80
INPORT=80
ACTION="-I"
iptables -t nat    $ACTION PREROUTING  -d $MAINIP -p tcp --dport $INPORT -j DNAT --to-destination $CONTIP:$VMPORT
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p tcp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p udp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -j MASQUERADE
iptables -t filter $ACTION INPUT       -p tcp -d $MAINIP --dport $INPORT -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $VMNET -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $MAINIP -j ACCEPT

请注意，您可能想要更改顺序以适应您自己的规则。另外，如果OUTPUT链没有ACCEPT默认策略，请确保添加输出规则，尽管出于所有实际目的，这应该通过拥有RELATED,ESTABLISHED状态规则来满足。您还可以细化接口以进行匹配或通过通配符进行匹配。例如，我为虚拟访客的网桥提供了所有前缀_（下划线），因此可以匹配-i _+和-o _+。同样，对于多个网卡 ( eth0, eth1)，您可以将其与相匹配-i eth+。

所以这里发生的是：

DNAT插入一条规则，该规则$INPORT接受 TCP（主机）端口上的输入并将其“路由”到$CONTIP:$VMPORT，即容器的 IP 和容器中的端口。是的，他们可能有所不同。如果他们不这样做，可以省略目标部分（即只是“$CONTIP”）。
掩盖流量的三个规则从虚拟访客的子网但不去到另一位虚拟客人。
INPUT允许公共 IP 上的传入数据包（未给出接口，但可能是！）端口通过的规则$INPORT。我认为这条规则并不是严格需要的，至少如果您将其绑定到公共接口则不需要。
$INPORT将流量转发到虚拟来宾子网的规则( $VMNET)
$INPORT将流量转发到公共 IP ( $MAINIP)的规则

sysctl最后但并非最不重要的一点是( )的值/proc/sys/net/ipv4/ip_forward应该是：

# cat /proc/sys/net/ipv4/ip_forward
1

让你的主机成为路由器。

如果不用于echo 1写入上面的“文件”，procfs或者更好地使用sysctl -w net.ipv4.ip_forward=1as root。

Answer

我知道这有点晚了，但是……楼主知道它负责那个IP？这是我放在我创建的规则文件顶部的架构。您可以在其他地方找到类似的流程图，但以 ASCII 格式显示（不想称其为艺术；））在终端上可能非常有用。