我有一台 Debian 10 服务器（公网 IP 为 85.xxx.xxx.xxx enp6s0）运行着一堆LXC 容器在网桥cbr0。我制定了以下 iptables 规则，以便容器可以与外界通信：
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i cbr0 -j ACCEPT
iptables -A FORWARD -i cbr0 -o enp6s0 -j ACCEPT
iptables -A FORWARD -i enp6s0 -o cbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o enp6s0 -j MASQUERADE
我已经创建了一个容器（10.0.0.1）有 nginx并将传入的 http 流量重定向到该容器：
iptables -t nat -A PREROUTING -i enp6s0 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.1:80
iptables -A FORWARD -i enp6s0 -o cbr0 -p tcp --dport 80 -j ACCEPT
一切都按预期进行，我可以在容器等上浏览网站。
现在我创建了第二个容器 (10.0.0.2)，它需要从 nginx 容器中获取一些数据。如果我使用内部 10.0.0.1 IP 进行通信，我的第二个容器就可以 wget 页面。但是如果我尝试使用服务器的外部 IP：
root@second-container:~# nc example.com 80
example.com [85.xxx.xxx.xxx] 80 (http) : Connection refused
我当前的解决方法是手动/etc/hosts为所有由 nginx 托管的域添加条目，这样它们将解析为 10.0.0.1 而不是其公共 IP。
我还需要哪些规则来允许使用外部服务器 IP 进行通信？
谢谢。
以下是该问题的附加图表：
答案1
这是发夹路由的常见问题。正确的解决方案是使用本地地址设置本地 DNS，这样您就不会将路由资源浪费在资源密集型的 NAT 上。本地 DNS 应指向本地地址，这样流量就会保持在本地，并且可以进行桥接而不是路由。
答案2
这是一个常见的问题，称为发夹型NAT。我通常更喜欢的解决方案是只添加 SNAT（源地址转换）。因此，已经同时执行 DNAT 的设备将对同一数据包执行 SNAT。
开销微乎其微。而且最重要的是，你的 DNS 是纯粹、简单、可预测的。