![Iptables:根据目标 IP 转发 SSH 流量](https://linux22.com/image/679130/Iptables%EF%BC%9A%E6%A0%B9%E6%8D%AE%E7%9B%AE%E6%A0%87%20IP%20%E8%BD%AC%E5%8F%91%20SSH%20%E6%B5%81%E9%87%8F.png)
我有 2 台服务器:一台接收来自 LAN 外部的连接,另一台(LAN 内部)我打算通过 ssh 从外部访问。有先决条件:我无法使用 22 以外的其他端口访问我的 SSH 服务;当然,第一台服务器也必须可以通过 SSH 访问。
我为入口服务器创建了一个网络别名:
allow-hotplug eth0
iface eth0 inet static
address 192.168.1.1
netmask 255.255.255.0
network 192.168.1.0
broadcast 192.168.1.255
gateway 192.168.1.254
# DNS directives
allow-hotplug eth0:1
iface eth0:1 inet static
address 192.168.1.2
netmask 255.255.255.0
network 192.168.1.0
broadcast 192.168.1.255
gateway 192.168.1.254
# DNS directives
我的策略是:使用防火墙,将所有到第二个 IP 地址的 SSH 连接转发到 LAN 内的服务器。因此,我执行了这些命令来配置防火墙(172.16.1.1 是 LAN 内服务器的 IP 地址):
# iptables -A FORWARD -p tcp -d 172.16.1.1 --dport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# iptables -v -t nat -A PREROUTING -i eth0 -d 192.168.1.2 -p tcp --dport 22 -j DNAT --to-destination 172.16.1.1:22
当我尝试从可以访问我的“防火墙”服务器的机器通过 SSH 连接到网络别名 (192.168.1.2) 时,它不起作用:
# ssh -v [email protected]
OpenSSH_6.0p1 Debian-4+deb7u2, OpenSSL 1.0.1e 11 Feb 2013
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 19: Applying options for *
debug1: Connecting to 192.168.14.15 [192.168.14.15] port 22.
debug1: connect to address 192.168.14.15 port 22: Connection timed out
ssh: connect to host 192.168.14.15 port 22: Connection timed out
在我尝试连接的机器上,SSH 日志(/var/log/auth.log)没有任何内容......
您认为问题是什么?(希望我说得足够清楚……)
编辑 :
我记录了 iptables 活动(在 FORWARD 链上,针对 tcp 协议,日志级别为 Debug)。在 ssh 连接尝试期间,我得到了以下输出(一次连接尝试输出 6 次相同的输出):
Mar 21 10:15:53 server1 kernel: [241152.008342] [ ### IPTABLES ### ] IN=eth0 OUT=eth0 MAC=0f:a0:12:61:ac:b8:10:55:5e:90:a3:1a:38:01 SRC=192.168.1.3 DST=172.16.1.1 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=48895 DF PROTO=TCP SPT=53677 DPT=22 WINDOW=14600 RES=0x00 SYN URGP=0
在目标服务器上,数据包似乎被很好地接收:在 iptables 上配置了日志记录(接受所有内容)之后,我得到了以下输出:
Mar 21 10:31:58 server2 kernel: [11214102.440239] [ ### IPTABLES ### ] IN=eth0 OUT= MAC=04:d0:5e:54:4a:8c:01:0d:24:1a:9f:d3:08:10 SRC=192.168.1.3 DST=172.16.1.1 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=21999 DF PROTO=TCP SPT=53681 DPT=22 WINDOW=0 RES=0x00 RST URGP=0
编辑2:
根据 Laurentiu Roescu 的建议,我在我的“中间”机器中添加了这些规则:
# iptables -t nat -A POSTROUTING -o eth0 -s 172.16.1.1 -p tcp -j SNAT --to-source 192.168.1.2
# iptables -A FORWARD -p tcp -s 172.16.1.1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
答案1
以下规则应该足够了
# iptables -t nat -I PREROUTING -p tcp -d 192.168.1.2 --dport 22 -j DNAT --to-destination 172.16.1.1:22
# iptables -t nat -I POSTROUTING -p tcp -d 172.16.1.1 --dport 22 -j SNAT --to-source 192.168.1.1
检查是否已启用转发
# cat /proc/sys/net/ipv4/ip_forward
1
如果你在 FORWARD 链中有严格的策略,你也应该允许转发到 172.16.1.1
# iptables -I FORWARD -p tcp -d 172.16.1.1 --dport 22 -j ACCEPT
# iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT