关于nat表格

Question 1

我已确保启用了 IPv4 转发，但是当我执行 lsmod 时，什么都没有显示。

lsmod仅显示已加载的模块。这与几乎没有关系iptables。iptables在插入规则时会自动加载所需的模块，如果失败，它会通过漂亮的错误消息通知您。如果您的规则已成功加载，iptables正在运行并且没有缺少任何模块。

此外，没有显示任何内容也是完全正常的lsmod：这意味着该功能被编译到内核中。所以的输出lsmod在这里完全不相关。

当我尝试连接这些端口时，连接被拒绝，就好像 iptables 根本没有运行一样。

-A 预路由 -ivenet0:1-p tcp -m state --state 新、相关、已建立 -m tcp --dport 51315 -j DNAT --to-destination 76.xxx.xxx.xxx

这里的问题很可能是venet0:1不存在的。iptables有这个限制，它接受任何接口名称，甚至是不存在的接口名称或看起来甚至不像接口名称的字符串（您甚至可以输入 IP 地址，只是为了好玩，它不起作用）。如果没有与给定名称匹配的接口，则规则将不匹配。当您的网络接口尚未准备好，或者您的网络接口是热插拔时，这很有用，但大多数时候，无法验证接口名称是否确实存在是一件很麻烦的事。很容易打错字。

相反，使用：

-A PREROUTING -i venet0 -p tcp -m state --state NEW,RELATED,ESTABLISHED -m tcp --dport 51315 -j DNAT --to-destination 76.xxx.xxx.xxx

现在，您可能会回答“但venet0:1存在，ifconfig表明它！”。

Exceptifconfig是错误的。原因是什么？Linuxifconfig已经过时、弃用、过时且糟糕。请使用ip addr。和以及可能还有其他的也一样route。netstat全部brctl替换ip它们。

ip addr不要伪造或向内核隐藏任何信息。您看到的是网络堆栈的真实状态。现在您可以看到没有这样的venet0:1接口。相反，venet0有多个 IP 地址。这是自 Linux 2.2 时代以来一直支持的功能。

但是ifconfig（或者实际上，它用于与内核通信的 BSD API）不支持一个接口有多个 IP 地址。因此，您可以使用这个称为“接口别名”的旧 BSD 技巧，您可以使用它ifconfig venet0:1为配置额外的 IP 地址venet0，它将显示为venet0:1接口。除非venet0:1不是接口。差得远。

实际上，ip addr它会向您显示venet0:1IP 地址的标签，手册页会告诉您：

In order to preserve compatibility with Linux-2.0 net aliases, this string
must coincide with the name of the device or must be prefixed with the
device name followed by colon.

手册页iptables曾经告诉您不要使用接口别名或任何带有冒号的内容，但那行一定已经消失了。

Answer

我已确保启用了 IPv4 转发，但是当我执行 lsmod 时，什么都没有显示。

lsmod仅显示已加载的模块。这与几乎没有关系iptables。iptables在插入规则时会自动加载所需的模块，如果失败，它会通过漂亮的错误消息通知您。如果您的规则已成功加载，iptables正在运行并且没有缺少任何模块。

此外，没有显示任何内容也是完全正常的lsmod：这意味着该功能被编译到内核中。所以的输出lsmod在这里完全不相关。

当我尝试连接这些端口时，连接被拒绝，就好像 iptables 根本没有运行一样。

-A 预路由 -ivenet0:1-p tcp -m state --state 新、相关、已建立 -m tcp --dport 51315 -j DNAT --to-destination 76.xxx.xxx.xxx

这里的问题很可能是venet0:1不存在的。iptables有这个限制，它接受任何接口名称，甚至是不存在的接口名称或看起来甚至不像接口名称的字符串（您甚至可以输入 IP 地址，只是为了好玩，它不起作用）。如果没有与给定名称匹配的接口，则规则将不匹配。当您的网络接口尚未准备好，或者您的网络接口是热插拔时，这很有用，但大多数时候，无法验证接口名称是否确实存在是一件很麻烦的事。很容易打错字。

相反，使用：

-A PREROUTING -i venet0 -p tcp -m state --state NEW,RELATED,ESTABLISHED -m tcp --dport 51315 -j DNAT --to-destination 76.xxx.xxx.xxx

现在，您可能会回答“但venet0:1存在，ifconfig表明它！”。

Exceptifconfig是错误的。原因是什么？Linuxifconfig已经过时、弃用、过时且糟糕。请使用ip addr。和以及可能还有其他的也一样route。netstat全部brctl替换ip它们。

ip addr不要伪造或向内核隐藏任何信息。您看到的是网络堆栈的真实状态。现在您可以看到没有这样的venet0:1接口。相反，venet0有多个 IP 地址。这是自 Linux 2.2 时代以来一直支持的功能。

但是ifconfig（或者实际上，它用于与内核通信的 BSD API）不支持一个接口有多个 IP 地址。因此，您可以使用这个称为“接口别名”的旧 BSD 技巧，您可以使用它ifconfig venet0:1为配置额外的 IP 地址venet0，它将显示为venet0:1接口。除非venet0:1不是接口。差得远。

实际上，ip addr它会向您显示venet0:1IP 地址的标签，手册页会告诉您：

In order to preserve compatibility with Linux-2.0 net aliases, this string
must coincide with the name of the device or must be prefixed with the
device name followed by colon.

手册页iptables曾经告诉您不要使用接口别名或任何带有冒号的内容，但那行一定已经消失了。

Question 2

关于`nat`表格

您可以在iptables 手册页：

当遇到创建新连接的数据包时，就会查阅此表。

因此您不必在那里检查连接状态，因为该表仅检查NEW连接。

让我们谈谈你的问题

开放VZ是一种基于命名空间。

基本上，您的虚拟机是一个简单的文件夹，其中设置并包含一个 Linux 系统树，让您感觉自己身处一个真正独立的系统中。这种虚拟化方法的独创性在于所有容器都在运行有且仅有一个Linux内核实例，主持人的一个。

现在您遇到了一个问题，因为您没有运行自己的内核实例，所以您无法完全控制，这解释了很多事情。

lsmod是空的，因为出于安全原因，他们不会让您知道哪些模块正在运行系统，当然，他们也不会让您通过添加新模块来更改系统配置。想象一下，每个客户端都修改运行其他客户端的相同内核。
即使你可以允许使用iptables对于容器来说，nat可能尚未启用。

Answer

关于`nat`表格

您可以在iptables 手册页：

当遇到创建新连接的数据包时，就会查阅此表。

因此您不必在那里检查连接状态，因为该表仅检查NEW连接。

让我们谈谈你的问题

开放VZ是一种基于命名空间。

基本上，您的虚拟机是一个简单的文件夹，其中设置并包含一个 Linux 系统树，让您感觉自己身处一个真正独立的系统中。这种虚拟化方法的独创性在于所有容器都在运行有且仅有一个Linux内核实例，主持人的一个。

现在您遇到了一个问题，因为您没有运行自己的内核实例，所以您无法完全控制，这解释了很多事情。

lsmod是空的，因为出于安全原因，他们不会让您知道哪些模块正在运行系统，当然，他们也不会让您通过添加新模块来更改系统配置。想象一下，每个客户端都修改运行其他客户端的相同内核。
即使你可以允许使用iptables对于容器来说，nat可能尚未启用。

关于nat表格

答案1

答案2

关于`nat`表格

让我们谈谈你的问题

相关内容