☰

使用 nftables 进行伪装

tag-icon • tag-icon linux networking nat nftables
使用 nftables 进行伪装

我有一台 PC-1，带有 2 个上行链路（调制解调器 1 和调制解调器 2）和 eth0 接口上的 LAN：

# ip -c -brief addr
lo               UNKNOWN        127.0.0.1/8
eth0             UP             192.168.0.7/24
modem2           UNKNOWN        10.73.15.79/27
modem1           UNKNOWN        10.176.229.31/26

（调制解调器 1 和调制解调器 2 的“未知”状态似乎正常）。

我已设置路由如下：

# ip -c rule
0:      from all lookup local
32764:  from 10.73.15.79 lookup 2
32765:  from 10.176.229.31 lookup 1
32766:  from all lookup main
32767:  from all lookup default

# ip -c route ls table main
default
        nexthop via 10.176.229.32 dev modem1 weight 1
        nexthop via 10.73.15.80 dev modem2 weight 1
10.73.15.64/27 dev modem2 proto kernel scope link src 10.73.15.79
10.176.229.0/26 dev modem1 proto kernel scope link src 10.176.229.31
192.168.0.0/24 dev eth0 proto kernel scope link src 192.168.0.7

# ip -c route ls table 1
default via 10.176.229.32 dev modem1
10.73.15.64/27 dev modem2 scope link
10.176.229.0/26 dev modem1 scope link src 10.176.229.31
127.0.0.0/8 dev lo scope link
192.168.0.0/24 dev eth0 scope link

# ip -c route ls table 2
default via 10.73.15.80 dev modem2
10.73.15.64/27 dev modem2 scope link src 10.73.15.79
10.176.229.0/26 dev modem1 scope link
127.0.0.0/8 dev lo scope link
192.168.0.0/24 dev eth0 scope link

因此，在 PC-1 上，我能够本地访问互联网。

我的 LAN 内也有 PC-2，并且想在 PC-1 上设置伪装，以便为 PC-2 提供互联网。

我正在尝试以下 nftables 配置：

# nft list ruleset
table ip filter {
        chain input {
                type filter hook input priority 0; policy accept;
        }

        chain forward {
                type filter hook forward priority 0; policy accept;
        }

        chain output {
                type filter hook output priority 0; policy accept;
        }
}
table ip nat {
        chain input {
                type nat hook input priority 0; policy accept;
                ip protocol icmp accept
        }

        chain prerouting {
                type nat hook prerouting priority 0; policy accept;
        }

        chain postrouting {
                type nat hook postrouting priority 100; policy accept;
                ip saddr 192.168.0.0/24 oifname "modem*" masquerade
        }

        chain output {
                type nat hook output priority 0; policy accept;
        }
}

但它不起作用。我尝试了几个不同版本的配置，但都没有成功。我该如何为 masquerade 设置 nftables？

我还设置了：

# sysctl -w net.ipv4.ip_forward="1"
net.ipv4.ip_forward = 1

Linux 内核 4.19.0

编辑：

我已经在另一台电脑上成功使用 nftables 配置了 masquerade。我注意到的区别（我不知道这是否有意义）：

在 PC-1 上：

# sudo iptables -S
iptables: No chain/target/match by that name.

在另一台电脑上：

# sudo iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

答案1

因此，问题 -在界面IPV4_DEVCONF_FORWARDING上未设置eth0。我已借助libnl- 方法进行了设置rtnl_link_inet_set_conf。

编辑：

这是相同的选项sysctl net.ipv4.conf.eth0.forwarding。感谢@AB

相关内容