DD-WRT，从 WAN 转发 http 的 TCP 端口 80 不起作用？

Question 1

...版本 DD-WRT v24-sp2 (12/12/11) 标准。

您没有提供修订号，这是一条重要信息。目前唯一推荐的修订号是 13064 或 14869。dd-wrt 固件的大多数修订版都被认为是不稳定且有缺陷的。

以下是来自论坛主题。

升级（或降级）到本节列出的论坛推荐版本之一，特别是如果您正在运行 SP1 或 v24 final (05/21/08 )13064 或 14896。如果您想要稳定性，请坚持使用此主题或 redhawk0 公告中的推荐版本。在撰写本文时，最新的官方版本是 v.24 SP1。SP1 有很多问题。它会自发地破坏华硕 WL500W 路由器。

所有这些论坛推荐的版本都是 BETA 版本，尚未“完成”。尽管您自行承担使用它们的风险，但论坛推荐的版本已经过彻底测试并且运行良好，肯定比 SP1 更好。浏览论坛并查看其他人的评论。

最新版本（例如 16xxx 或 17xxx 版本）比推荐版本更新，仅供测试使用。它们不是新的和“改进的”，并且没有发布，因为它们显然更好。它们通常存在大量问题。如果没有，它们会在论坛上被推荐。因此，请注意，如果您安装的版本与此处推荐的版本不同，则您正在测试版本，您可能会发现它不起作用。每个版本在论坛中都有一个“构建线程”，该线程是在版本发布时创建的。在该线程中报告问题，但不要在构建线程中寻求有关路由器的帮助。如果您想要一个总体稳定的版本，请使用本说明或 REDHAWK0 推荐的构建线程中推荐的版本之一！此规则的唯一例外是，如果您使用的是非常新的路由器，并且该路由器需要初始刷新比 15962 更新的版本，在这种情况下大多数人应该使用 17990 或 18000（基本上相同）。

总结： The newest builds, such as the 16xxx or 17xxx builds, that are newer than the recommended builds have been released for TESTING only... OFTEN they have massive problems.

编辑：您说您通过从远程 IP 地址连接来测试转发。为了确保万无一失，您不会尝试从 LAN 连接到 WAN 接口的 IP 地址，对吗？NAT 环回该修订版本以及 15760 之后的任何版本均已损坏。

我强烈建议你按照我链接的帖子将固件降级到推荐的版本之一，除非你有一个非常不这样做的令人信服的理由。

编辑2：嗯。我看你的降级没有成功。很遗憾听到这个消息。不幸的是，这可能是 DD-WRT 固件的问题，有关的问题被认为是题外话。我得出这个结论的原因是你的 iptables 看起来不错，并且端口转发与你的 Linksys 路由器正常工作）。

我的建议是 1) 在 DD-WRT 论坛发帖（首先阅读所有常见问题解答），2) 提交错误报告或 3) 购买真正的路由器。我使用 DD-WRT 时遇到的问题很多，绝不会推荐任何人使用它。此外，我发现 COTS“路由器”也同样不可靠。

Answer

...版本 DD-WRT v24-sp2 (12/12/11) 标准。

您没有提供修订号，这是一条重要信息。目前唯一推荐的修订号是 13064 或 14869。dd-wrt 固件的大多数修订版都被认为是不稳定且有缺陷的。

以下是来自论坛主题。

升级（或降级）到本节列出的论坛推荐版本之一，特别是如果您正在运行 SP1 或 v24 final (05/21/08 )13064 或 14896。如果您想要稳定性，请坚持使用此主题或 redhawk0 公告中的推荐版本。在撰写本文时，最新的官方版本是 v.24 SP1。SP1 有很多问题。它会自发地破坏华硕 WL500W 路由器。

所有这些论坛推荐的版本都是 BETA 版本，尚未“完成”。尽管您自行承担使用它们的风险，但论坛推荐的版本已经过彻底测试并且运行良好，肯定比 SP1 更好。浏览论坛并查看其他人的评论。

最新版本（例如 16xxx 或 17xxx 版本）比推荐版本更新，仅供测试使用。它们不是新的和“改进的”，并且没有发布，因为它们显然更好。它们通常存在大量问题。如果没有，它们会在论坛上被推荐。因此，请注意，如果您安装的版本与此处推荐的版本不同，则您正在测试版本，您可能会发现它不起作用。每个版本在论坛中都有一个“构建线程”，该线程是在版本发布时创建的。在该线程中报告问题，但不要在构建线程中寻求有关路由器的帮助。如果您想要一个总体稳定的版本，请使用本说明或 REDHAWK0 推荐的构建线程中推荐的版本之一！此规则的唯一例外是，如果您使用的是非常新的路由器，并且该路由器需要初始刷新比 15962 更新的版本，在这种情况下大多数人应该使用 17990 或 18000（基本上相同）。

总结： The newest builds, such as the 16xxx or 17xxx builds, that are newer than the recommended builds have been released for TESTING only... OFTEN they have massive problems.

编辑：您说您通过从远程 IP 地址连接来测试转发。为了确保万无一失，您不会尝试从 LAN 连接到 WAN 接口的 IP 地址，对吗？NAT 环回该修订版本以及 15760 之后的任何版本均已损坏。

我强烈建议你按照我链接的帖子将固件降级到推荐的版本之一，除非你有一个非常不这样做的令人信服的理由。

编辑2：嗯。我看你的降级没有成功。很遗憾听到这个消息。不幸的是，这可能是 DD-WRT 固件的问题，有关的问题被认为是题外话。我得出这个结论的原因是你的 iptables 看起来不错，并且端口转发与你的 Linksys 路由器正常工作）。

我的建议是 1) 在 DD-WRT 论坛发帖（首先阅读所有常见问题解答），2) 提交错误报告或 3) 购买真正的路由器。我使用 DD-WRT 时遇到的问题很多，绝不会推荐任何人使用它。此外，我发现 COTS“路由器”也同样不可靠。

Question 2

将以下四个命令（2 个 insmod 和 2 个 iptables）添加到路由器的启动命令窗口（路由器的菜单路径：管理 --> 诊断）。将它们粘贴到路由器的 shell 命令窗口中，然后单击保存启动按钮以将它们传输到路由器的启动命令窗口中：

修改ipt_mark

修改 xt_mark

iptables -t mangle -A PREROUTING -i !`get_wanface` -d`nvram 获取 wan_ipaddr` -j MARK --set-mark 0xd001

iptables -t nat -A POSTROUTING -m mark --mark 0xd001 -j MASQUERADE

最好的方法是将上述四个命令原封不动地复制并粘贴到路由器中，每行一个命令。这样做可以保证你不会犯错误，因为我敢打赌你已经受够了！

将它们保存到路由器的启动命令列表中后，重新启动路由器并从 WAN 侧测试端口转发。

这应该可以解决问题。

如果这对您有用，就像对我有用一样，请在这里回复！

问候，Lino

Answer

将以下四个命令（2 个 insmod 和 2 个 iptables）添加到路由器的启动命令窗口（路由器的菜单路径：管理 --> 诊断）。将它们粘贴到路由器的 shell 命令窗口中，然后单击保存启动按钮以将它们传输到路由器的启动命令窗口中：

修改ipt_mark

修改 xt_mark

iptables -t mangle -A PREROUTING -i !`get_wanface` -d`nvram 获取 wan_ipaddr` -j MARK --set-mark 0xd001

iptables -t nat -A POSTROUTING -m mark --mark 0xd001 -j MASQUERADE

最好的方法是将上述四个命令原封不动地复制并粘贴到路由器中，每行一个命令。这样做可以保证你不会犯错误，因为我敢打赌你已经受够了！

将它们保存到路由器的启动命令列表中后，重新启动路由器并从 WAN 侧测试端口转发。

这应该可以解决问题。

如果这对您有用，就像对我有用一样，请在这里回复！

问候，Lino

Question 3

您的规则目前看起来没什么问题；所以另一种可能性是您的 ISP 或中间人阻止了 dport 80... 简单的测试方法是：

添加 DNAT 规则，将对其他端口的请求转发到您的内部服务器 - 即：

iptables -t nat -I PREROUTING -p tcp --dport 32100 -d <wanIP> -j DNAT --to 192.168.2.97:80

然后打开浏览器并访问http://<wanIP>:32100

如果仍然失败，那么很可能与 pMTUd 问题有关。

Answer

您的规则目前看起来没什么问题；所以另一种可能性是您的 ISP 或中间人阻止了 dport 80... 简单的测试方法是：

添加 DNAT 规则，将对其他端口的请求转发到您的内部服务器 - 即：

iptables -t nat -I PREROUTING -p tcp --dport 32100 -d <wanIP> -j DNAT --to 192.168.2.97:80

然后打开浏览器并访问http://<wanIP>:32100

如果仍然失败，那么很可能与 pMTUd 问题有关。

Question 4

您的 iptables 列表仅适用于默认filter表（与相同iptables -t filter -L），它用于传统的直接路由，但对于您来说不够用 - 您使用网络地址转换（NAT）。

在这种情况下，相关设置在nat表中（通过 ssh 连接到您的路由器并发出iptables -t nat -L）；它应该包含类似这样的内容：

Chain PREROUTING (policy ...)
target     prot opt source               destination
DNAT       tcp  --  anywhere             your_internet_ip_address       tcp dpt:80 to:192.168.2.97:80

当然，从外面你需要连接到http://你的互联网 IP 地址，而不是http://192.168.2.97，请原谅我说出显而易见的事实。

不知道如何通过 DD-WRT v24 GUI 实现它。在 v23 上我通过它实现了它，Applications&Gaming -> Port ForwardingDNAT 运行良好。

更新 1：所以，您确实有一个适当的 DNAT 规则。

我注意到了另外一件事。您有一个针对端口 80 的 TRIGGER 规则。手册上说

通过设置端口触发规则，您可以允许入站流量到达特定的 LAN 主机 [...] 如果 PC 从这些端口发送出站流量，则转发范围内的传入流量将被转发到该 PC。

这与普通的端口转发 (DNAT) 完全不同，很可能与之冲突。触发通常用于连接回的应用程序（通常是多人游戏），我不明白为什么有人会希望它用于端口 80。

Answer