☰

具有 2 个外部 WAN IP A+B 和多个内部 LAN 的 NAT 路由器：让 1 个 LAN 使用外部 IP 地址 B，所有其他 A

tag-icon • tag-icon iptables routing nat
具有 2 个外部 WAN IP A+B 和多个内部 LAN 的 NAT 路由器：让 1 个 LAN 使用外部 IP 地址 B，所有其他 A

我有一个简单的 Linux 路由器，具有多个 NIC 并启用了 IPv4 转发。

路由器有两个静态 WAN IP 地址，分配给一个接口 ( eth0, eth0:0)。 （在下面的文本中，我将混淆实际的公共 IP 地址（257 作为一个八位字节）。）

可以从外部 Internet 对两个外部 WAN IP 地址执行 ping 操作。

接口：

  • eth0：互联网连接，134.257.10。10/24，网关134.257.10.1
  • eth0:0：该接口上的第二个 IP 地址：134.257.10。20/24
  • eth1：局域网1、192.168.1.1/24
  • eth2：局域网2、192.168.2.1/24
  • eth3：局域网3、192.168.3.1/24

我的设置有效，所有 LAN 客户端 (LAN 1-3) 都可以访问 Internet，并且在外部显示为 134.257.10。10。此外，我有两个传入端口转发。

我的 iptables NAT 表如下所示：

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
# Port forwarding:
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80
-A PREROUTING -i eth0:0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT

如何让 LAN3 客户端 ( eth3) 显示为 134.257.10。20在 Internet ( eth0:0) 上进行传出连接，而不是 134.257.10。10( eth0)?

答案1

使用 SNAT 代替 MASQUERADE

...以便选择默认值以外的其他内容。

不要对一般情况（所有其他 LAN）使用 MASQUERADE，而是为 LAN3 客户端添加 SNAT 例外。这必须在其他 nat/POSTROUTING 规则之前匹配才能覆盖它，因此-I在下面使用，而不是-A应用于现有规则集的正确位置（注意伪造的 257）：

iptables -t nat -I POSTROUTING -s 192.168.3.0/24 -o eth0 -j SNAT --to-source 134.257.10.20

iptables（与之相反nftables) 无法匹配输入POSTROUTING 挂钩中路由数据包的接口，因此-i eth3不能在上面使用，而是通过检查原始 IP 地址源来完成匹配。

解决问题eth0:0

在此过程中，修复所谓的别名接口名称的错误使用，该概念的存在只是为了与 Linux 的ifconfig命令兼容，该命令在 Linux 上已经过时了 20 多年，但仍然存在。事实上，在 Linux 上，ifconfig一个接口上无法处理多个 IPv4 地址，而这一解决方法就是为了克服这个问题。实际上，除了 之外，包括内核在内，eth0:0其他任何东西都将其视为与关联标签设置的地址 134.257.10.20/24 。这个辅助地址可以像这样添加（在主地址已经就位之后）与现代等效：ifconfigeth0eth0:0ip addr

ip addr add 134.257.10.20/24 brd + label eth0:0 dev eth0

这很重要，因为iptables无法与使用 的规则正确匹配eth0:0。所以必须在短时间内更换iptables对接口进行检查：eth0在同一规则中加上对 IP 地址的检查。

因此，如果端口 80 仅针对第一个公共 IP 地址而不是两者都到达 192.168.1.10:80，请替换：

-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80

和：

-A PREROUTING -i eth0 -d 134.257.10.10 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80

如果两个地址都适用，那么初始规则就可以。

但可以肯定的是，端口 25 的规则应该重写如下：

-A PREROUTING -i eth0 -d 134.257.10.20 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25

必须在实际界面上进行匹配（eth0）和地址，因为这就是eth0:0：地址而不是接口。

最终的规则集变为（当然要注意伪造的 257）：

*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 134.257.10.10/32 -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.10:80
-A PREROUTING -d 134.257.10.20/32 -i eth0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.3.33:25
-A POSTROUTING -s 192.168.3.0/24 -o eth0 -j SNAT --to-source 134.257.10.20
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT

相关内容