主机中客户端的 WireGuard 端口转发

Question

事实证明，DNAT对这样做127.0.0.1似乎是不可行的（至少对于的情况而言OUTPUT），可能是因为或类似127.0.0.0/8的scope host原因。

然而，以下nftables规则集应该可以帮助您实现您的目标：

table ip rewrite {
        chain unloop {
                type route hook output priority filter; policy accept;
                ip daddr 127.0.0.1 tcp dport 80 ip daddr set 10.7.0.2 ip saddr set 10.7.0.1
        }

        chain reloop {
                type filter hook input priority 101; policy accept;
                ip saddr 10.7.0.2 tcp sport 80 ip saddr set 127.0.0.1 ip daddr set 127.0.0.1
        }
}
table ip realnat {
        chain dest {
                type nat hook output priority filter; policy accept;
                ip daddr 192.168.1.183 tcp dport 80 dnat to 10.7.0.2
        }

        chain source {
                type nat hook postrouting priority srcnat; policy accept;
                ip daddr 10.7.0.2 tcp dport 80 snat to 10.7.0.1
        }
}

您不需要执行“正确的”目标 NAT，而是需要对目标（和源）地址进行某种“未跟踪”重写。借助链type route，将执行新的路由查找。此外，您还需要使回复流量具有其源和目标地址改回，127.0.0.1以便curl能够识别流量。

用hook input它应该（即未测试）避免对非主机本身的流量进行不必要的重写（即转发流量的回复流量）。另一方面，priority 101（即1大于srcnat/所有标准优先级）将避免对已正确 NAT 的请求的回复进行不必要的重写。

如您所见，对于这种192.168.1.183情况，在特殊情况的表之后还有另一个执行正常 NAT 的表127.0.0.1。

请注意，此规则集仅适用curl于容器内部（或最多是其主机；我不熟悉容器，据我所知，容器可能有不同的联网方法）。例如，如果您需要容器转发到中的其他主机192.168.1.0/24，您还需要dnat在链中使用相同的规则type nat hook prerouting priority dstnat。还需要启用和允许 IP 转发。正如我所说，我不确定上面的重写技巧是否127.0.0.1会与此冲突。

Answer 1

事实证明，DNAT对这样做127.0.0.1似乎是不可行的（至少对于的情况而言OUTPUT），可能是因为或类似127.0.0.0/8的scope host原因。

然而，以下nftables规则集应该可以帮助您实现您的目标：

table ip rewrite {
        chain unloop {
                type route hook output priority filter; policy accept;
                ip daddr 127.0.0.1 tcp dport 80 ip daddr set 10.7.0.2 ip saddr set 10.7.0.1
        }

        chain reloop {
                type filter hook input priority 101; policy accept;
                ip saddr 10.7.0.2 tcp sport 80 ip saddr set 127.0.0.1 ip daddr set 127.0.0.1
        }
}
table ip realnat {
        chain dest {
                type nat hook output priority filter; policy accept;
                ip daddr 192.168.1.183 tcp dport 80 dnat to 10.7.0.2
        }

        chain source {
                type nat hook postrouting priority srcnat; policy accept;
                ip daddr 10.7.0.2 tcp dport 80 snat to 10.7.0.1
        }
}

您不需要执行“正确的”目标 NAT，而是需要对目标（和源）地址进行某种“未跟踪”重写。借助链type route，将执行新的路由查找。此外，您还需要使回复流量具有其源和目标地址改回，127.0.0.1以便curl能够识别流量。

用hook input它应该（即未测试）避免对非主机本身的流量进行不必要的重写（即转发流量的回复流量）。另一方面，priority 101（即1大于srcnat/所有标准优先级）将避免对已正确 NAT 的请求的回复进行不必要的重写。

如您所见，对于这种192.168.1.183情况，在特殊情况的表之后还有另一个执行正常 NAT 的表127.0.0.1。

请注意，此规则集仅适用curl于容器内部（或最多是其主机；我不熟悉容器，据我所知，容器可能有不同的联网方法）。例如，如果您需要容器转发到中的其他主机192.168.1.0/24，您还需要dnat在链中使用相同的规则type nat hook prerouting priority dstnat。还需要启用和允许 IP 转发。正如我所说，我不确定上面的重写技巧是否127.0.0.1会与此冲突。

主机中客户端的 WireGuard 端口转发

测试连接

服务器配置：

客户端配置：

答案1

相关内容