![如何跳过/修复原始套接字输出上的 NAT](https://linux22.com/image/757731/%E5%A6%82%E4%BD%95%E8%B7%B3%E8%BF%87%2F%E4%BF%AE%E5%A4%8D%E5%8E%9F%E5%A7%8B%E5%A5%97%E6%8E%A5%E5%AD%97%E8%BE%93%E5%87%BA%E4%B8%8A%E7%9A%84%20NAT.png)
我有一个缓存应用程序,它在用户空间中运行,并为在网络其他地方的外部主机上运行的客户端提供加速服务。简而言之,我的程序监视网络流量并进行深度数据包检查,以生成对某些客户端请求的加速回复。
由于冗长乏味的原因,我想添加一些 NAT 功能。作为概念验证,我希望使用 iptables/netfilter 在我的应用程序上放置一个前端。大多数情况下,它运行良好。我可以成功进行 NAT,并且可以使用 NFQUEUE 将流量转发到我的应用程序,允许它读取它们并进行数据包检查。
但是,当我的缓存尝试生成响应并返回给客户端时,我遇到了困难。我尝试通过原始套接字将内部生成的响应数据包馈送到网络,以便将它们发送回客户端。我发现数据包的 TCP 源端口正在更改。我交给原始套接字的数据包的源端口为 2049(NFS),但实际输出的数据包的源端口为 1024。
经过进一步分析,我怀疑我生成的数据包违反了 netfilter 的连接跟踪和 NAT 代码。Netfilter 认为它们不是我将它们注入的连接的一部分,但它们与该连接具有相同的元组。因此它认为它看到了冲突并进行端口转发。这显然是一个问题,因为在客户端看来它们应该属于同一个连接。
有没有好的方法可以跳过某些数据包的最后 NAT 步骤?如果做不到这一点,有没有办法以编程方式告诉 netfilter 我的数据包属于特定的客户端连接,即使它们来自原始套接字而不是网络?
答案1
这是 Netfilter 代码中带有原始套接字和连接跟踪的极端情况。Netfilter 连接跟踪功能会更改源端口,因为通过原始套接字发出的数据包与现有的连接跟踪不匹配。
您可以使用以下 IPTables 规则解决此行为:
iptables -t raw -I OUTPUT -p tcp -j CT --notrack
另一个选项是设置以下 sysctl 值:
net.netfilter.nf_conntrack_tcp_loose=0
我不知道这些设置对其他操作可能产生的副作用。就我而言,我没有注意到任何副作用,但您的情况可能有所不同。