☰

修改传入数据包源 IP

tag-icon • tag-icon centos iptables nat
修改传入数据包源 IP

如何在传入数据包到达正在运行的服务之前更改其源 IP

我有两台设备，一个管理器和一个服务器，它们通过 VPN 连接并且它们之间有 NAT。

管理器接口 IP：A 服务器接口 IP：B

管理器使用 NAT IP Y 连接到服务器，当管理器连接时，服务器看到 IP X

如何在服务器上设置 iptables，以便当数据包以源 IP X 到达时将其更改为 IP。

我知道这在设计良好的网络和产品中应该不是什么问题，但我们暂时需要一个解决方法，直到软件方面修复它。

到目前为止，以下 iptables 规则没有帮助：

iptables -t nat -A POSTROUTING -s <X> -o eth0 -j SNAT --to <A>

任何帮助均感激不尽。

答案1

NAT 依赖于iptables并由连接跟踪子系统。在做出路由决定之前，SNAT 不可用，但在选择将数据包路由到主机后，它仍然可用：在很少使用的nat/输入链，如记录在手册页：

SNAT

此目标仅在 nat 表中有效，在POSTROUTING和 INPUT链，以及仅从这些链中调用的用户定义链。[...]

因此，只要服务器正在接收流量（而不是进一步路由），当通过接口在服务器的 IP 目标地址 <B> 上接收来自 IP 源地址 <X> 的数据包时eth0，它可以被 SNAT 为源地址 <A> （这是原始 IP 源地址，但此信息已丢失），如下所示：

iptables -t nat -A INPUT -s <X> -d <B> -i eth0 -j SNAT --to <A>

或者使用更简单的版本：

iptables -t nat -A INPUT -s <X> -j SNAT --to <A>

您可以添加更多限制，例如-p tcp --dport XXXX（XXXX 表示实际访问的服务），并且您可能应该这样做：如果您遇到下面描述的问题，您可能会阻止自己通过 VPN 访问系统。除非确定，否则请准备备用访问方法或不要远程访问。

由于路由的原因，上述规则可能不够。如果 IP 地址 <A> 不在到服务器的已知路由中（这种情况只有在服务器没有默认路由）。虽然系统永远不会将数据包（IP 甚至 ARP）发送回此目的地（回复未经 SNAT），但仍然需要到该目的地的路由，以便路由堆栈能够正确处理，而路由堆栈不知道是否发生了 SNAT。

因此，如果iptables上面的规则还不够（可能如果服务器没有默认路由），您可以添加：

  ip route add <A>/32 dev eth0

相关内容