Iptable 预路由链

Question

我正在设置蜜罐网络来诱捕攻击者。我遇到了一些路由问题。我已在所有机器中配置了静态路由，以便我可以将任何机器连接到网络中的任何机器。我想要这样的机制：如果流量来自攻击者到 Web 服务器，则本地路由器应允许它。如果有任何流量流向 172.16.75.0/24 中不存在的机器（例如 172.16.75.140），那么我想将目标地址更改为内部路由器的地址，即 172.16.72.128。为此，我添加了以下两个 iptable 规则。

1. iptables -t nat -A PREROUTING -m physdev --physdev-in eth0 -d 172.16.75.129 -j 返回
2. iptables -t nat -A PREROUTING -m physdev --physdev-in eth0 -d 172.16.75.0/24 -j DNAT --to-destination 172.16.72.128
   但是当我尝试将数据包从攻击者发送到 172.16.75.140 时，我期望的事情并没有发生

Answer 1

我找到了解决办法。实际上iptables我输入的命令有-m physdev --physdev-in eth0选项。此选项仅适用于桥接接口。删除此选项后即可生效。