使用两个路由器进行端口转发

Question 1

您当前的设置将无法按预期工作。您需要一个可以浮动的虚拟 IP Router-A。Router-B这还将轻松地在两个路由器之间实现负载平衡。在此示例中，我将使用行业标准虚拟专用网络备份组在 Linux 路由器（Ubuntu-16）上。

具体步骤如下：

在 LinuxRouter-A和上Router-B，执行以下命令：

$ sudo echo "net.ipv4.ip_nonlocal_bind=1" >> /etc/sysctl.conf
$ sudo sysctl -p

在两个路由器上安装 keepalived

$ sudo apt-get update
$ sudo apt-get install keepalived -y

然后转到Router-A将充当的。使用以下条目MASTER创建一个新的配置文件：/etc/keepalived/keepalived.conf

vrrp_instance VI_1 {
    interface eth1
    state MASTER
    virtual_router_id 50
    priority 101

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

然后转到Router-B将充当的角色BACKUP，并对新的配置文件执行相同的操作/etc/keepalived/keepalived.conf：

vrrp_instance VI_1 {
    interface eth1
    state BACKUP
    virtual_router_id 50
    priority 100

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

解释：

net.ipv4.ip_nonlocal_bind=1告诉内核虚拟 IP 不能绑定到任何物理接口。

vrrp_instance VI_1必须在两个路由器上匹配。这是一个标识符，因为您可以在同一个路由器上运行多个 VRRP。

interface eth1是面向 LAN（面向内部服务器）的接口。

state MASTER一遍Router-A又 state BACKUP一遍Router-B是不言自明的。

virtual_router_id 50必须在两个路由器上匹配。这是一个标识符。

priority 101继续（在这种情况Router-A下priority 100，Router-B路由器 A 具有更高的优先级）。

authentication必须在两个路由器上匹配。在本例中，我使用了预共享密钥passw123

virtual_ipaddress是 VRRP 将使用的浮动 IP 地址。此 IP 必须在两个路由器上匹配。此 IP 不得由 LAN 段上的任何设备使用。在本例中，我选择了192.168.1.99

启用 keepalived 服务

$ sudo systemctl enable keepalived

启动 keepalived 服务

$ sudo systemctl start keepalived

是时候操作两个路由器上的 iptables 规则了。

清除两个路由器上的所有 NAT 规则（删除损坏的 NAT 规则）

$ sudo iptables -t nat -F
$ sudo iptables -t mangle -F

然后添加正确的 NAT 规则：

路由器-A

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 25 -j DNAT --to 192.168.1.234

路由器-B

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.123

这就是路由器端所需的全部内容。现在跳转到服务器（服务器 A 和服务器 B），删除现有默认网关 ( 192.168.1.1) 并分配新网关 ( 192.168.1.99)

$ sudo ip route del 0/0
$ sudo route add default gw 192.168.1.99

当从互联网建立连接时，两台服务器（服务器 A 和服务器 B）将流量返回到192.168.1.99浮动在上方的虚拟 IP（）Router-A，Router-B

参考：https://www.keepalived.org/manpage.html

Answer