![使用我的 IPSec strongswan 隧道将特定端口上的传入流量镜像到另一个 IP](https://linux22.com/image/768716/%E4%BD%BF%E7%94%A8%E6%88%91%E7%9A%84%20IPSec%20strongswan%20%E9%9A%A7%E9%81%93%E5%B0%86%E7%89%B9%E5%AE%9A%E7%AB%AF%E5%8F%A3%E4%B8%8A%E7%9A%84%E4%BC%A0%E5%85%A5%E6%B5%81%E9%87%8F%E9%95%9C%E5%83%8F%E5%88%B0%E5%8F%A6%E4%B8%80%E4%B8%AA%20IP.png)
我想使用 在内部服务器 (192.168.0.12) 上的 VPN 隧道后面内部发布一个 SMTP 服务器 (IP 10.0.0.10) strongswan
。我的strongswan
正在 docker 容器中运行。
为此,我希望我的内部服务器192.168.0.12
监听其 25 端口并将流量转发到同一端口上的隧道服务器10.0.0.10:25
。
到目前为止我尝试使用 iptables,但没有成功。
net.ipv4.ip_forward
在主机和docker容器上都启用了!
在 strongswan 连接到隧道后,我iptables-save
打开了:(是的,我可以从 192.168.0.12 ping 10.0.0.10)192.168.0.12
# Generated by iptables-save v1.8.4 on Fri Jul 23 09:55:05 2021
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 10.0.0.0/16 -d 192.168.0.10/32 -i eth0 -m policy --dir in --pol ipsec --reqid 1 --proto esp -j ACCEPT
-A OUTPUT -s 192.168.0.10/32 -d 10.0.0.0/16 -o eth0 -m policy --dir out --pol ipsec --reqid 1 --proto esp -j ACCEPT
COMMIT
# Completed on Fri Jul 23 09:55:05 2021
# Generated by iptables-save v1.8.4 on Fri Jul 23 09:55:05 2021
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [2:1600]
:POSTROUTING ACCEPT [2:1600]
:DOCKER_OUTPUT - [0:0]
:DOCKER_POSTROUTING - [0:0]
-A OUTPUT -d 127.0.0.11/32 -j DOCKER_OUTPUT
-A POSTROUTING -d 127.0.0.11/32 -j DOCKER_POSTROUTING
-A DOCKER_OUTPUT -d 127.0.0.11/32 -p tcp -m tcp --dport 53 -j DNAT --to-destination 127.0.0.11:45165
-A DOCKER_OUTPUT -d 127.0.0.11/32 -p udp -m udp --dport 53 -j DNAT --to-destination 127.0.0.11:53306
-A DOCKER_POSTROUTING -s 127.0.0.11/32 -p tcp -m tcp --sport 45165 -j SNAT --to-source :53
-A DOCKER_POSTROUTING -s 127.0.0.11/32 -p udp -m udp --sport 53306 -j SNAT --to-source :53
COMMIT
命令ip r
输出:
default via 192.168.16.1 dev eth0
192.168.16.0/20 dev eth0 proto kernel scope link src 192.168.16.10 # this is a docker internal network for my services
192.168.0.10/30 dev eth1 proto kernel scope link src 192.168.0.12
我尝试了如下各种命令:
iptables -t nat -A PREROUTING -p tcp --dport 25 -j DNAT --to-destination 10.0.0.10:25
iptables -t nat -A POSTROUTING -p tcp -d 10.0.0.10 --dport 25 -j SNAT --to-source 192.168.0.12
但没有成功。
我无法提供有关ip r
主机或的任何信息iptables-save
。
我究竟做错了什么?
答案1
我使用 解决了我的问题traefik
。
192.168.0.12
我在具有的主机()上安装了 traefik,strongswan tunnel
并使用TCP router
将所有流量转发到隧道。
traefik
安装:
wget -O /traefik.tar.gz https://github.com/traefik/traefik/releases/download/v2.4.12/traefik_v2.4.12_linux_amd64.tar.gz \
&& tar -zxvf /traefik.tar.gz \
&& ln -s /traefik /usr/bin/traefik
traefik.yaml
:
entryPoints:
smtp:
address: ":1025"
accessLog: {}
providers:
file:
directory: /traefik-conf/dynamic/
watch: true
api:
dashboard: true
insecure: true
我的/traefik-conf/dynamic/dynamic.yaml
:
tcp:
routers:
smtp-router:
rule: "HostSNI(`*`)"
entryPoints:
- smtp
service: smtp-service
services:
smtp-service:
loadBalancer:
servers:
- address: 10.0.0.10:25
运行traefik
(我不知道如何正确地将其作为后台守护进程运行):
traefik --configfile /traefik-conf/traefik.yml &
smtp server
现在我可以使用 从网络内部的任何位置连接到隧道192.168.0.12:1025
。
我使用 docker 创建了一个示例在 github 上