☰

使用 DNAT 和 SNAT 进行端口转发而不触及其他数据包

tag-icon • tag-icon linux iptables
使用 DNAT 和 SNAT 进行端口转发而不触及其他数据包

我有一个带 iptables 的 Linux 网关，它可以进行路由和端口转发。我希望端口转发独立于路由进行。

为了转发端口，我将其添加到nat表中：

iptables -t nat -A "$PRE" -p tcp -d $GW --dport $fromPort -j DNAT --to-destination $toHost:$toPort
iptables -t nat -A "$POST" -p tcp -d $toHost --dport $toPort -j SNAT --to $SRC

$PRE和实际上是我分别从和链POST跳转到的特定于目的地的链，这样我就可以保持 iptables 清洁。是我正在 SNAT 的 IP 地址，它与网关 IP 不同。PREROUTINGPOSTROUTING$SRC$GW

这种设置的问题在于，未经 DNAT 但恰好到达同一$toHost:$toPort组合的常规路由数据包也将被 SNAT。

我希望避免这种情况。有什么聪明的办法吗？

答案1

保持简单：实际上你不需要做SNAT任何事情。通过这样做，每个数据包到达目标服务器时看起来都像是来自防火墙，而不是来自原始客户端，而在大多数情况下这不是你想要的。

有了SNAT这条规则，您就不必担心它会与其他流量相匹配。

注意：您的FORWARD规则必须与真实源 IP 和内部目标 IP 相匹配，因为应用规则FORWARD后才会到达链。DNAT

编辑

鉴于要求SNAT：只要您对DNAT规则匹配数据包的方式感到满意，那么您可以在此之前使用mangle标记相同数据包的规则：

iptables -t mangle -A <mangle chain> -p tcp -d $GW --dport $fromPort -j MARK --set-mark 0x1

然后你的SNAT规则所要做的就是匹配那些标记的数据包：

iptables -t nat -A "$POST" -m mark --mark 0x1 -j SNAT --to $SRC

如果您需要识别多个单独的流，您应该能够随脚本一起改变标记$SRC。

相关内容