我可以使用 iptables 直接在线公开主机吗（不使用 NAT）？

Question

路由解释

您的路由器有一些面向 WAN 的 IP，我们称之为router_wan_ip。该链接“另一侧”的 IP 我们称之为isp_gw_ip。

如果是任何类型的 PPP，您的路由器很可能在会话设置期间通过 IPCP 协议获取其 IP 地址router_wan_ip和远程 IP 地址isp_gw_ip，并且默认路由由 pppd 设置。如果是以太网，您通常需要输入 IP 和子网掩码（通常为 /30 (255.255.255.252)）并手动设置默认路由。无论哪种方式，您的路由器都通过该路由具有默认路由isp_gw_ip。

您有 8 个地址块，我们称之为routed_subnet。它的掩码为 /29 (255.255.255.248)。通常这意味着，具有地址的 ISP 路由器isp_gw_ip安装了类似的路由routed_subnet via router_wan_ip。因此，当互联网上的某个人向内的任何地址发送数据包时routed_subnet，它会到达 ISP 路由器，并最终将该数据包路由到您的路由器。

如何使用该块取决于你。

通常，您会将其用作 IP 子网，这意味着您要牺牲 2 个地址（全零和全一）。这些地址无法使用。然后，您可以选择剩余的 6 个地址中的任意一个作为路由器的 LAN 面地址。通常使用第一个可用的地址，它将有最后三个位001，但您可以选择任何位，协议保留的除外。将这些位与子网地址组合起来000，得到一个完整的路由器 LAN 地址，我们称之为。注意子网掩码将是 /29。111routed_subnetrouter_lan_ip

子网的剩余 5 个地址分配给网络中的计算机。如果您选择路由器，这些地址001将是010、011、100和。将它们组合起来并获得完整地址，子网掩码再次为 /29。让我们为剩下的讨论选择一个并将其称为。101110routed_subnetcomputer_public_ip

在计算机上配置时，您还会设置默认网关。哪一个？没错，您的路由器router_lan_ip必须设置为网关。还记得我们考虑过从互联网到您的某个 IP 的数据包吗？现在，分配了该 IP 的计算机有一条返回互联网的路由，可以进行回复。

必须启用路由器上的数据包转发功能，即sysctl net.ipv4.ip_forward=1必须以某种方式运行。这就是所有配置。

Arouter_wan_ip和isp_gw_ip是“链接”地址，在正常的互联网流量中不会出现。它们不需要公开。通常它们是公开的，因为诸如 ICMP dest unreach 或类似的错误消息仍然使用这些地址，所以最好将它们公开。但有时 ISP 可能会选择牺牲这一点，不浪费额外的宝贵公共 IP 地址。

和router_wan_ip也router_lan_ip可能是具有不同网络掩码的相同地址（其中一个将是 /29，另一个将是 /32）。这是 ISP 在那里拥有公共 IP 的方式，但仍然不会浪费来自公共空间的额外 IP。如果是这种情况，即如果 ISP 为您分配属于您子网的链接地址（例如通过 IPCP），您最好在 LAN 端使用完全相同的地址，否则您将使用路由器上 6 个可用地址中的 2 个，只剩下 4 个用于计算机。

一些回顾请参阅此详细而详细的解释。此处的所有地址均包括其各自的网络掩码。计算机和路由器 LAN 地址取自分配给您的地址块。这些命令不一定完全得到执行；例如，ISP 可能使用 Linux 以外的其他命令，或者 pppd 使用略有不同的命令。我仅用 Linux iproute2 命令来表达所有内容，以使本节看起来一致。

在路由器上：

ip addr add router_lan_ip dev lan_iface
ip addr add router_wan_ip dev wan_iface
# ip route add isp_gw_ip dev wan_iface # if PPP
ip route add default via isp_gw_ip

ISP 在其设备上为您执行的操作：

ip addr add isp_gw_ip dev facing_to_you_iface
# ip route add router_wan_ip dev facing_to_you_iface # if PPP
ip route add routed_subnet via router_wan_ip

一台电脑

ip addr add computer_public_ip dev iface
ip route add default via router_lan_ip

防火墙配置

注意，没有什么我还是讲了iptables，因为它不是路由的东西，而是一个数据包过滤器/转换器，它不直接与路由有关。默认情况下，Netfilter 只允许任何流量。当然，它仍然非常适用于过滤一些流量，现在对你来说唯一的区别是你不再使用 NAT，至少对于这 5 个具有公共 IP 的地址来说不会再使用 NAT。

我不知道如何在路由器中实现此配置。所有专业路由器都需要在需要时明确启用 NAT；相反，SOHO 路由器通常假设您需要它，并且默认情况下启用它。在某些 SOHO 路由器中，您仍然可以根据需要禁用它；但是，我看到了无法禁用 NAT 的框。如果您在界面的某个地方看到“NAT”或“伪装”或“互联网访问共享”选项，那可能就是它。例如，在 OpenWRT 固件中，您可以通过在常规防火墙设置中取消选中（或不选中）面向 WAN 的网络上“伪装”复选框来禁用 NAT。

您还可以翻译一些客户端，而其他一些（五个地址）则不翻译。为此，您需要以下基本配置：

iptables -t nat -A POSTROUTING -s routed_subnet -o wan_iface -j ACCEPT -m comment --comment "Packets from this subnet won't be NATed"
iptables -t nat -A POSTROUTING -o wan_iface -j SNAT --to-source router_lan_ip -m comment --comment "Other packets are source-NATed to the IP of the router itself"

第一条规则只是捕获来自公共 IP 的满意所有者的数据包并尽早接受它们，而不让它们到达第二条规则并进行翻译。

如果路由器有公共地址router_wan_ip，第二条规则可能会使用该地址进行 SNAT，无论是通过显式-j SNAT --to-source router_wan_ip还是隐式-j MASQUERADE。我之所以使用，router_lan_ip是因为我们确信它是公共的，因为它是从路由到您的公共子网中获取的。如果router_wan_ip是私有的，您可能需要设置额外的 NAT 规则，例如路由器本身可以访问 Internet：

iptables -t nat -A OUTPUT -o wan_iface -j SNAT --to-source router_lan_ip -m comment --comment "Internetl access for the router itself"

哪些地址可以获取网络中其他（NAT 的）机器，它们连接到哪里？这又取决于您了。例如，最简单的情况是在路由器中为 LAN 设置第三个 IP 接口，该接口具有私有地址。或者您lan_iface可以有两个地址（一个是公共地址，另一个是私有地址），并且两个网络可以共享同一个以太网段。

所有的过滤（哪些数据包可以转发）都必须在表中完成filter，要么INPUT是OUTPUT往返于路由器本身的数据包的链，要么FORWARD是网络其余部分的链；这包括两个 LAN 之间的数据包，即使它们共享相同的接口。

再说一遍，我不知道如何在你的硬件上做到这一点。在 Linux 机器上做起来相当容易；在 OpenWRT 上也可以做到，也可以在任何专业路由器上设置。

Answer 1

路由解释

您的路由器有一些面向 WAN 的 IP，我们称之为router_wan_ip。该链接“另一侧”的 IP 我们称之为isp_gw_ip。

如果是任何类型的 PPP，您的路由器很可能在会话设置期间通过 IPCP 协议获取其 IP 地址router_wan_ip和远程 IP 地址isp_gw_ip，并且默认路由由 pppd 设置。如果是以太网，您通常需要输入 IP 和子网掩码（通常为 /30 (255.255.255.252)）并手动设置默认路由。无论哪种方式，您的路由器都通过该路由具有默认路由isp_gw_ip。

您有 8 个地址块，我们称之为routed_subnet。它的掩码为 /29 (255.255.255.248)。通常这意味着，具有地址的 ISP 路由器isp_gw_ip安装了类似的路由routed_subnet via router_wan_ip。因此，当互联网上的某个人向内的任何地址发送数据包时routed_subnet，它会到达 ISP 路由器，并最终将该数据包路由到您的路由器。

如何使用该块取决于你。

通常，您会将其用作 IP 子网，这意味着您要牺牲 2 个地址（全零和全一）。这些地址无法使用。然后，您可以选择剩余的 6 个地址中的任意一个作为路由器的 LAN 面地址。通常使用第一个可用的地址，它将有最后三个位001，但您可以选择任何位，协议保留的除外。将这些位与子网地址组合起来000，得到一个完整的路由器 LAN 地址，我们称之为。注意子网掩码将是 /29。111routed_subnetrouter_lan_ip

子网的剩余 5 个地址分配给网络中的计算机。如果您选择路由器，这些地址001将是010、011、100和。将它们组合起来并获得完整地址，子网掩码再次为 /29。让我们为剩下的讨论选择一个并将其称为。101110routed_subnetcomputer_public_ip

在计算机上配置时，您还会设置默认网关。哪一个？没错，您的路由器router_lan_ip必须设置为网关。还记得我们考虑过从互联网到您的某个 IP 的数据包吗？现在，分配了该 IP 的计算机有一条返回互联网的路由，可以进行回复。

必须启用路由器上的数据包转发功能，即sysctl net.ipv4.ip_forward=1必须以某种方式运行。这就是所有配置。

Arouter_wan_ip和isp_gw_ip是“链接”地址，在正常的互联网流量中不会出现。它们不需要公开。通常它们是公开的，因为诸如 ICMP dest unreach 或类似的错误消息仍然使用这些地址，所以最好将它们公开。但有时 ISP 可能会选择牺牲这一点，不浪费额外的宝贵公共 IP 地址。

和router_wan_ip也router_lan_ip可能是具有不同网络掩码的相同地址（其中一个将是 /29，另一个将是 /32）。这是 ISP 在那里拥有公共 IP 的方式，但仍然不会浪费来自公共空间的额外 IP。如果是这种情况，即如果 ISP 为您分配属于您子网的链接地址（例如通过 IPCP），您最好在 LAN 端使用完全相同的地址，否则您将使用路由器上 6 个可用地址中的 2 个，只剩下 4 个用于计算机。

一些回顾请参阅此详细而详细的解释。此处的所有地址均包括其各自的网络掩码。计算机和路由器 LAN 地址取自分配给您的地址块。这些命令不一定完全得到执行；例如，ISP 可能使用 Linux 以外的其他命令，或者 pppd 使用略有不同的命令。我仅用 Linux iproute2 命令来表达所有内容，以使本节看起来一致。

在路由器上：

ip addr add router_lan_ip dev lan_iface
ip addr add router_wan_ip dev wan_iface
# ip route add isp_gw_ip dev wan_iface # if PPP
ip route add default via isp_gw_ip

ISP 在其设备上为您执行的操作：

ip addr add isp_gw_ip dev facing_to_you_iface
# ip route add router_wan_ip dev facing_to_you_iface # if PPP
ip route add routed_subnet via router_wan_ip

一台电脑

ip addr add computer_public_ip dev iface
ip route add default via router_lan_ip

防火墙配置

注意，没有什么我还是讲了iptables，因为它不是路由的东西，而是一个数据包过滤器/转换器，它不直接与路由有关。默认情况下，Netfilter 只允许任何流量。当然，它仍然非常适用于过滤一些流量，现在对你来说唯一的区别是你不再使用 NAT，至少对于这 5 个具有公共 IP 的地址来说不会再使用 NAT。

我不知道如何在路由器中实现此配置。所有专业路由器都需要在需要时明确启用 NAT；相反，SOHO 路由器通常假设您需要它，并且默认情况下启用它。在某些 SOHO 路由器中，您仍然可以根据需要禁用它；但是，我看到了无法禁用 NAT 的框。如果您在界面的某个地方看到“NAT”或“伪装”或“互联网访问共享”选项，那可能就是它。例如，在 OpenWRT 固件中，您可以通过在常规防火墙设置中取消选中（或不选中）面向 WAN 的网络上“伪装”复选框来禁用 NAT。

您还可以翻译一些客户端，而其他一些（五个地址）则不翻译。为此，您需要以下基本配置：

iptables -t nat -A POSTROUTING -s routed_subnet -o wan_iface -j ACCEPT -m comment --comment "Packets from this subnet won't be NATed"
iptables -t nat -A POSTROUTING -o wan_iface -j SNAT --to-source router_lan_ip -m comment --comment "Other packets are source-NATed to the IP of the router itself"

第一条规则只是捕获来自公共 IP 的满意所有者的数据包并尽早接受它们，而不让它们到达第二条规则并进行翻译。

如果路由器有公共地址router_wan_ip，第二条规则可能会使用该地址进行 SNAT，无论是通过显式-j SNAT --to-source router_wan_ip还是隐式-j MASQUERADE。我之所以使用，router_lan_ip是因为我们确信它是公共的，因为它是从路由到您的公共子网中获取的。如果router_wan_ip是私有的，您可能需要设置额外的 NAT 规则，例如路由器本身可以访问 Internet：

iptables -t nat -A OUTPUT -o wan_iface -j SNAT --to-source router_lan_ip -m comment --comment "Internetl access for the router itself"

哪些地址可以获取网络中其他（NAT 的）机器，它们连接到哪里？这又取决于您了。例如，最简单的情况是在路由器中为 LAN 设置第三个 IP 接口，该接口具有私有地址。或者您lan_iface可以有两个地址（一个是公共地址，另一个是私有地址），并且两个网络可以共享同一个以太网段。

所有的过滤（哪些数据包可以转发）都必须在表中完成filter，要么INPUT是OUTPUT往返于路由器本身的数据包的链，要么FORWARD是网络其余部分的链；这包括两个 LAN 之间的数据包，即使它们共享相同的接口。

再说一遍，我不知道如何在你的硬件上做到这一点。在 Linux 机器上做起来相当容易；在 OpenWRT 上也可以做到，也可以在任何专业路由器上设置。

我可以使用 iptables 直接在线公开主机吗（不使用 NAT）？

答案1

路由解释

防火墙配置

相关内容