☰

如何将到达给定端口的所有流量转发到另一个端口？

tag-icon • tag-icon port-forwarding firewalld debian-buster
如何将到达给定端口的所有流量转发到另一个端口？

如何将到达给定端口的所有流量转发到另一个端口？

定义布局和问题

布局

这是我正在尝试做的布局......

+--------+         +---------------------+         +----------------+
|  WAN   |  <--->  | 6789                |         |                |
| Client |         |       Gateway       |         |      Host      |
|        |         |                4567 |  <--->  |  2345 Service  |
+--------+         +---------------------+         +----------------+

我想将到达端口 6789 的所有流量透明地转发到端口 4567。WAN 上的客户端和主机上的服务应该对网关一无所知。

网关是带有firewalld的Debian 10。

问题

我无法将到达网关端口 6789 的流量转发至端口 4567。

目前的设置

步骤01-在防火墙上公开端口并确认端口已打开。

在网关上打开端口

  1. 运行firewall-cmd命令：firewall-cmd --add-port=6789

  2. 检查防火墙状态...

root@gateway:~# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: etho0
  sources: 
  services: dhcpv6-client http https ssh
  ports: 6789/tcp
  protocols: 
  masquerade: yes
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:
  1. 确认端口已开放。
  • 在网关上，启动一个监听器：nc -vvlp 6789 &
  • 确认监听器已启动...
root@gateway:~# netstat -tulnp | grep 6789
tcp        0      0 0.0.0.0:6789              0.0.0.0:*               LISTEN      2274/nc
  • 从客户端尝试访问网关：
client@client123:~$ nc -vvN gateway.example.org 6789
Connection to gateway.example.org 6789 port [tcp/*] succeeded!

结论：防火墙开放了6789端口。

nc通过终止客户端和网关上的进程来清理。

步骤 02 - 确认网关与主机上的服务之间的连接

root@gateway:~# telnet localhost 4567
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 backendhost.backendhost MyService (Debian/GNU)

结论：网关和主机上的服务之间的隧道已连通。

步骤 03 - 在网关上添加端口转发并检查防火墙状态

root@gateway:~# firewall-cmd --add-forward-port=port=6789:proto=tcp:toport=4567`
root@gateway:~# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: etho0
  sources: 
  services: dhcpv6-client ssh
  ports: 6789/tcp
  protocols: 
  masquerade: no
  forward-ports: port=6789:proto=tcp:toport=4567:toaddr=
  source-ports: 
  icmp-blocks: 
  rich rules:

结论：端口转发在防火墙中。

此时，如果我尝试从客户端 telnet 主机，我会得到...

client@client123:~$ telnet gateway.example.org 6789
Trying <IP_of_gateway>...
telnet: Unable to connect to remote host: Connection refused

此时，我想看看我在上面的步骤 02 中看到的内容。

问题

这是我不确定的地方...

当我netstat -tulnp在网关上运行时，它没有显示在端口 6789 上侦听的任何内容。我并不指望它这样做，因为我没有运行任何在端口 6789 上侦听的服务。

我是否需要某种服务来监听 6789 端口？如果需要，需要什么？或者防火墙设置中缺少了什么？我是否需要某种透明代理？这里？

我不会把过去几周我读过的所有内容的链接都放在这个帖子里，但如果有一篇文章包含了答案，请随时指出来。

编辑

回复@AB

主机在防火墙后面运行。主机启动时，它会自动使用 SSH 端口转发创建到网关的隧道。

以下是主机启动时运行的命令：ssh -N -R 4567:localhost:2345 [email protected]

该隧道已启动，如步骤 02 中确认的那样。虽然我之前没有提到，但当客户端与主机位于同一 LAN 上时，它就可以工作。

我正在努力解决的问题是如何让到达网关的流量成功传递到主机。网关应该是“透明的”。安全证书由主机持有，客户端应该认为它正在直接与主机对话。

我仍在努力学习术语，因此如果有更正确的方式来提出这个问题，我当然愿意知道它是什么。

答案1

感谢大家的各种评论。

有两件事我忽略了……

  1. GatewayPorts需要/etc/ssh/sshd_config从默认更改no为clientspecified
  2. 需要将命令ssh从监听环回改为监听所有地址。更新后的命令如下所示：（注意ssh -N -R 0.0.0.0:4567:localhost:2345 [email protected]0.0.0.0：（添加在 4567 端口前面。）

相关内容