IPTABLES nat 使用 CSF 维护源 IP 地址

Question 1

问题：

我们不确定是否可以使用 IPTABLES SNAT 和/或 DNAT 将“真实”源 IP 传递到目的地。

回答：

是的，这是可能的，如果您使用 CSF，请按照以下方法操作。不要依赖 CSF 的重定向功能，即在中有类似于以下内容的行/etc/csf/csf.redirect：

XXX.XXX.XXX.184|2222|10.0.0.100|22|tcp

相反，输入以下iptables命令/etc/csf/csfpost.sh：

/sbin/iptables -I FORWARD -i vmbr0 -o vmbr10 -d 10.0.0.0/24 -j ACCEPT
/sbin/iptables -I FORWARD -i vmbr0 -o vmbr10 -d 10.0.0.0/24 -j LOCALINPUT
/sbin/iptables -t nat -A PREROUTING -i vmbr0 -p tcp -m tcp --dport 2222 -j DNAT --to-destination 10.0.0.100:22

测试：

$ ssh xxx.xxx.xxx.184 -p 2222 'netstat -tn'
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0     72 10.0.0.100:22           xxx.xxx.xxx.199:55812   ESTABLISHED

解释：

/sbin/iptables --table nat --append PREROUTING --in-interface vmbr0 --protocol tcp --match tcp --dport 2222 --jump DNAT --to-destination 10.0.0.100:22

此行将端口上外部接口传入的 TCP 流量重定向到端口上的2222内部地址。10.0.0.10022

/sbin/iptablesiptables需要完整的可执行文件。
--table nat处理 nat（网络地址转换）表。
--append PREROUTING将此规则附加到PREROUTING链中所有现有规则之后。
--in-interface vmbr0捕获接口上传入的所有流量vmbr0。
--protocol tcp仅捕获 TCP 流量。
--match tcp使用 tcp 模块。
--dport 2222仅捕获发往港口的流量2222。
--jump DNAT执行目标网络地址转换。
--to-destination 10.0.0.100:22将目标地址更改为10.0.0.100，将目标端口更改为22。

/sbin/iptables --insert FORWARD --in-interface vmbr0 --out-interface vmbr10 --destination 10.0.0.0/24 --jump LOCALINPUT

这一行允许我们不跳过所有 CSF 的过滤，只是因为我们正在重定向。

/sbin/iptablesiptables需要完整的可执行文件。
--insert FORWARD将此规则插入FORWARD链中现有规则之前。这是重定向数据包要去的地方，而不是链INPUT。
--in-interface vmbr0匹配接口进入的流量vmbr0。
--out-interface vmbr10匹配从接口出去的流量vmbr0作为重定向的效果。
--destination 10.0.0.0/24仅匹配发往（重定向到）内部网络的流量。
--jump LOCALINPUT经过整个LOCALINPUT链条。CSF 正是在此执行其众所周知的所有良好过滤，阻止被禁止和列入黑名单的 IP 进入系统。通过此规则，我们将 CSF 的过滤扩展到内部网络的所有主机（而不是仅限于发往运行 CSF 的主机的流量）。

/sbin/iptables --insert FORWARD --in-interface vmbr0 --out-interface vmbr10 --destination 10.0.0.0/24 --jump ACCEPT

该线路将所有剩余转发的流量传递到内部主机。

/sbin/iptablesiptables需要完整的可执行文件。
--insert FORWARD将此规则插入FORWARD链中现有规则之前。链中所有文件执行完毕后，将评估此规则LOCALINPUT。
--in-interface vmbr0匹配接口进入的流量vmbr0。
--out-interface vmbr10匹配从接口出去的流量vmbr0作为重定向的效果。
--destination 10.0.0.0/24仅匹配发往（重定向到）内部网络的流量。
--jump ACCEPT在 CSF 完成所有过滤（在LOCALINPUT链中）之后，我们希望编辑剩余的数据包ACCEPT。

Answer