这是这个想法的图形表示：

Question 1

BatchyX 已经对 iptables 和路由给出了一些非常好的解释，所以我将锻炼我的懒惰并直接进入脚本。

它应该将所有流量通过 192.168.0.91 NAT 到端口 80,443,22,4070。其余的将通过 192.168.1.254 进行 NAT。

我重新进行测试并最终遵循此指导。该指南中缺少的是我的脚本中的最后 3 行。我从另一个端口发现了这一点，但我失去了该链接的踪迹。

这是一个经过测试的工作脚本。

需要默认路由

我没有放入脚本中的一件事是设置默认路由。它应该是

route add default gw 192.168.1.254

当您这样做时route -n，它应该是唯一的默认路由（Dest：0.0.0.0）

0.0.0.0    192.168.1.254    0.0.0.0    UG    0    0    0    eth1

fw-router.sh

# 重置/刷新 iptables
iptables -F
iptables-X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P 输入接受
iptables -P 转发接受
iptables -P 输出接受

#Reset/Flush/Setup IP 路由（表 4）
ip 路由刷新表 4
ip 路由显示表主 | grep -Ev ^默认|当读取 ROUTE 时；执行 ip 路由添加表 4 $ROUTE ；完毕
ip 路由添加表 4 默认通过 192.168.0.1

#用匹配的 D.Port 标记数据包
iptables -t mangle -A PREROUTING -p tcp --dport 22 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 80 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 443 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 4070 -s 10.0.0.0/24 -j MARK --set-mark 4

#SNAT 规则
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.74
iptables -t nat -A POSTROUTING -o eth2 -j SNAT --to-source 192.168.0.91

#IP路由
ip 规则添加 fwmark 4 表 4
ip 路由刷新缓存

#IP堆栈
#这是指南中缺失的部分
echo 1 > /proc/sys/net/ipv4/ip_forward
对于 /proc/sys/net/ipv4/conf/*/rp_filter 中的 f ；执行 echo 0 > $f ；完毕
echo 0 > /proc/sys/net/ipv4/route/flush

PS1：简而言之，MASQUERADE对于需要某种负载平衡或需要 DNAT 来处理传入流量的多个外部 IP 的 NAT 不起作用（在大多数情况下，绝对在您的情况下）。你需要SNAT方向控制。

PS2：纯粹的 iptables 是不够的。

Answer

BatchyX 已经对 iptables 和路由给出了一些非常好的解释，所以我将锻炼我的懒惰并直接进入脚本。

它应该将所有流量通过 192.168.0.91 NAT 到端口 80,443,22,4070。其余的将通过 192.168.1.254 进行 NAT。

我重新进行测试并最终遵循此指导。该指南中缺少的是我的脚本中的最后 3 行。我从另一个端口发现了这一点，但我失去了该链接的踪迹。

这是一个经过测试的工作脚本。

需要默认路由

我没有放入脚本中的一件事是设置默认路由。它应该是

route add default gw 192.168.1.254

当您这样做时route -n，它应该是唯一的默认路由（Dest：0.0.0.0）

0.0.0.0    192.168.1.254    0.0.0.0    UG    0    0    0    eth1

fw-router.sh

# 重置/刷新 iptables
iptables -F
iptables-X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P 输入接受
iptables -P 转发接受
iptables -P 输出接受

#Reset/Flush/Setup IP 路由（表 4）
ip 路由刷新表 4
ip 路由显示表主 | grep -Ev ^默认|当读取 ROUTE 时；执行 ip 路由添加表 4 $ROUTE ；完毕
ip 路由添加表 4 默认通过 192.168.0.1

#用匹配的 D.Port 标记数据包
iptables -t mangle -A PREROUTING -p tcp --dport 22 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 80 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 443 -s 10.0.0.0/24 -j MARK --set-mark 4
iptables -t mangle -A PREROUTING -p tcp --dport 4070 -s 10.0.0.0/24 -j MARK --set-mark 4

#SNAT 规则
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.74
iptables -t nat -A POSTROUTING -o eth2 -j SNAT --to-source 192.168.0.91

#IP路由
ip 规则添加 fwmark 4 表 4
ip 路由刷新缓存

#IP堆栈
#这是指南中缺失的部分
echo 1 > /proc/sys/net/ipv4/ip_forward
对于 /proc/sys/net/ipv4/conf/*/rp_filter 中的 f ；执行 echo 0 > $f ；完毕
echo 0 > /proc/sys/net/ipv4/route/flush

PS1：简而言之，MASQUERADE对于需要某种负载平衡或需要 DNAT 来处理传入流量的多个外部 IP 的 NAT 不起作用（在大多数情况下，绝对在您的情况下）。你需要SNAT方向控制。

PS2：纯粹的 iptables 是不够的。

Question 2

注意：我只考虑了第一个脚本，忽略了旧的脚本。

您不需要使用当前的 iptables 手动修改 netfilter 模块。这仅对于自定义连接跟踪器是必需的。
不要混淆route和ip route。这是纯粹的邪恶。只需在任何地方使用ip即可忘记ifconfigandroute
/etc/iproute2/rt_tables重新启动后不会重置。一遍又一遍地附加相同的条目并不是一个好主意，您只需要执行一次。请记住，rt_tables只需将名称别名定义为数值，它不会更改任何配置。
现在iptables：在您的FORWARD链中，您丢弃来自 LAN 到 4G 的数据包。这不好。该FORWARD钩子在路由完成后使用。至此，所有的策略路由就完成了，已经知道数据包应该发送到4G还是ADSL了。期间FORWARD或之后均不进行重新路由FORWARD（好吧，从技术上讲，在严重情况下可以在之后进行重新路由POSTROUTING，但回到正题）。

现在进行路由：请记住，Ubuntu 默认启用反向路径过滤。反向路径过滤的工作原理如下：当内核从接口 A 接收到数据包（无论是否转发）时，它将反转源地址和目标地址，并检查结果数据包是否应通过接口 A 路由。如果不是，则该数据包将作为地址欺骗尝试而被丢弃。

对于从接收的数据包eth0，这不是问题。对于从收到的数据包eth1，这也不是问题，因为当反转源 IP 地址和目标 IP 地址时，内核会将其作为表中的默认路由main。对于从接收的数据包eth2，如果您没有标记，这是一个问题，因为内核将命中表中的默认路由main，并认为这些数据包应该是从接收的eth1。最简单的解决方案是禁用 eth1 上的反向路径过滤：

sysctl -w net.ipv4.conf.eth1.rp_filter=0

Answer

注意：我只考虑了第一个脚本，忽略了旧的脚本。

您不需要使用当前的 iptables 手动修改 netfilter 模块。这仅对于自定义连接跟踪器是必需的。
不要混淆route和ip route。这是纯粹的邪恶。只需在任何地方使用ip即可忘记ifconfigandroute
/etc/iproute2/rt_tables重新启动后不会重置。一遍又一遍地附加相同的条目并不是一个好主意，您只需要执行一次。请记住，rt_tables只需将名称别名定义为数值，它不会更改任何配置。
现在iptables：在您的FORWARD链中，您丢弃来自 LAN 到 4G 的数据包。这不好。该FORWARD钩子在路由完成后使用。至此，所有的策略路由就完成了，已经知道数据包应该发送到4G还是ADSL了。期间FORWARD或之后均不进行重新路由FORWARD（好吧，从技术上讲，在严重情况下可以在之后进行重新路由POSTROUTING，但回到正题）。

现在进行路由：请记住，Ubuntu 默认启用反向路径过滤。反向路径过滤的工作原理如下：当内核从接口 A 接收到数据包（无论是否转发）时，它将反转源地址和目标地址，并检查结果数据包是否应通过接口 A 路由。如果不是，则该数据包将作为地址欺骗尝试而被丢弃。

对于从接收的数据包eth0，这不是问题。对于从收到的数据包eth1，这也不是问题，因为当反转源 IP 地址和目标 IP 地址时，内核会将其作为表中的默认路由main。对于从接收的数据包eth2，如果您没有标记，这是一个问题，因为内核将命中表中的默认路由main，并认为这些数据包应该是从接收的eth1。最简单的解决方案是禁用 eth1 上的反向路径过滤：

sysctl -w net.ipv4.conf.eth1.rp_filter=0

这是这个想法的图形表示：

这是这个想法的图形表示：

网络方案：

该脚本有效，除了 22 和 4070！

旧脚本：

答案1

答案2

相关内容