iptables 在 POSTROUTING 之后丢弃数据包

Question 1

这里的问题似乎与 VirtualBox 如何模拟网络接口和/或网络堆栈有关。我能够使用相同的 iptables 规则启动另一个 VBox Guest，将其配置为专用网关，并能够成功将流量重定向到任意 IP 到我的本地 InetSim 实例。

Answer

这里的问题似乎与 VirtualBox 如何模拟网络接口和/或网络堆栈有关。我能够使用相同的 iptables 规则启动另一个 VBox Guest，将其配置为专用网关，并能够成功将流量重定向到任意 IP 到我的本地 InetSim 实例。

Question 2

要排除您的设置的故障，请将其拆开并单独测试每个部分。

我有一个防火墙服务器（10.3.1.5），因此我添加了将数据包发送到 1.2.3.4 到内部盒子 10.3.1.140（mil102）的命令：

iptables -t nat -A PREROUTING -i eth0 -d 1.2.3.4  -j LOG
iptables -t nat -A PREROUTING -i eth0 -d 1.2.3.4  -j DNAT --to 10.3.1.140

这应该与您的起点相同，现在从内部机器 10.3.1.129 (hp) 我可以 ping 1.2.3.4。防火墙上的日志显示了数据包：

Feb  3 15:42:54 firewall kernel: [7052380.506166] IN=eth0 OUT= MAC=00:0c:29:64:b1:4a:00:22:64:f7:b4:b8:08:00 SRC=10.3.1.129 DST=1.2.3.4 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=27456 DF PROTO=ICMP TYPE=8 CODE=0 ID=922 SEQ=1

使用 tcpdump 仅显示 ICMP 数据包（tcpdump 'icmp[icmptype] = icmp-echo 或 icmp[icmptype] = icmp-echoreply'）我看到 mil102（10.3.1.140）上的数据包：

16:42:55.161125 IP hp > mil102: ICMP echo request, id 922, seq 1, length 64
16:42:55.161185 IP mil102 > hp: ICMP echo reply, id 922, seq 1, length 64

您应该能够仅使用 nat 表中的 PREROUTING 行来达到这一点 - 在尝试 POSTROUTING 规则之前验证它是否正常工作。

然后我添加了 POSTROUTING 规则：

iptables -t nat -I POSTROUTING 1 -d 10.3.1.140 -s 10.3.1.0/24 -j LOG
iptables -t nat -I POSTROUTING 2 -d 10.3.1.140 -s 10.3.1.0/24 -j SNAT --to 10.3.1.5

这会将来自本地网络到 10.3.1.140（mil102）的数据包更改为看起来像是来自 10.3.1.5（防火墙）。

日志文件现在显示 ping 正在进行：

Feb  3 15:40:33 firewall kernel: [7052239.848022] IN=eth0 OUT= MAC=00:0c:29:64:b1:4a:00:22:64:f7:b4:b8:08:00 SRC=10.3.1.129 DST=1.2.3.4 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=21950 DF PROTO=ICMP TYPE=8 CODE=0 ID=32310 SEQ=1
Feb  3 15:40:33 firewall kernel: [7052239.848081] IN= OUT=eth0 SRC=10.3.1.129 DST=10.3.1.140 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=21950 DF PROTO=ICMP TYPE=8 CODE=0 ID=32310 SEQ=1

我的目标机器 mil102 (10.3.1.140) 现在显示 ping 的来源是防火墙 (10.3.1.5):

16:40:35.639037 IP firewall > mil102: ICMP echo request, id 32310, seq 2, length 64
16:40:35.639110 IP mil102 > firewall: ICMP echo reply, id 32310, seq 2, length 64

关于我的设置有几点说明 - eth0 是防火墙上的内部接口，eth1 是外部接口。hp 和 mil102 都只有一个接口 eth0。

我现有的 nat 表有一些路由，这就是我使用插入命令的原因。这是我的原始 nat 表的样子：

Chain PREROUTING (policy ACCEPT 37 packets, 2362 bytes)
 pkts bytes target     prot opt in     out     source               destination
 1444 73980 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:81 to:10.3.1.129:81

Chain INPUT (policy ACCEPT 18 packets, 1222 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 6 packets, 420 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    5   420 ACCEPT     all  --  *      eth1    0.0.0.0/0            172.20.20.0/24
 116M 7439M MASQUERADE  all  --  *      eth1    0.0.0.0/0            0.0.0.0/0

请忽略日志上的时间戳——我在测试完所有内容后才收集示例的数据。

如果这不起作用，最好的建议是简化设置，直到达到预期的工作状态，然后增加复杂性，直到突破或达到目标。

Answer