NAT with iptables：需要幫助理解

January 21, 2013

我正在嘗試使用 iptables 學習 NAT，但遇到了一些困惑。

我有兩台 ips 18.43 的虛擬機，假設B和 18.42 C在埠 80 上執行網路伺服器。我需要對B:80到C:80上的每個流量進行 NAT （不想使用除 NAT 之外的任何其他技術）

B 上的規則與ip-forward on 和每個鏈的預設策略是接受

iptables -t nat -A PREROUTING -p tcp -d 10.10.18.43 --dport 80 -j  DNAT --to 10.10.18.42:80

當我從 A（我的機器11.46）向 B:80 發出請求時，我可以在機器 B 的 tcpdump 上看到以下內容

12:24:43.488944 IP 10.10.11.46.43149 &gt; 10.10.18.43.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554127 ecr 0,nop,wscale 5], length 0
12:24:43.488986 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554127 ecr 0,nop,wscale 5], length 0
12:24:44.488106 IP 10.10.11.46.43149 &gt; 10.10.18.43.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554377 ecr 0,nop,wscale 5], length 0
12:24:44.488138 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554377 ecr 0,nop,wscale 5], length 0
12:24:46.492250 IP 10.10.11.46.43149 &gt; 10.10.18.43.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554878 ecr 0,nop,wscale 5], length 0
12:24:46.492283 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554878 ecr 0,nop,wscale 5], length 0

同樣在機器 C 上，我正在關注 tcpdump

12:24:43.497050 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554127 ecr 0,nop,wscale 5], length 0
12:24:43.497116 IP 10.10.18.42.http &gt; 10.10.11.46.43149: Flags [S.], seq 450030769, ack 3856561848, win 14480, options [mss 1460,sackOK,TS val 2097931 ecr 2554127,nop,wscale 7], length 0
12:24:44.496174 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554377 ecr 0,nop,wscale 5], length 0
12:24:44.496227 IP 10.10.18.42.http &gt; 10.10.11.46.43149: Flags [S.], seq 450030769, ack 3856561848, win 14480, options [mss 1460,sackOK,TS val 2098181 ecr 2554127,nop,wscale 7], length 0
12:24:44.970715 IP 10.10.18.42.http &gt; 10.10.11.46.43149: Flags [S.], seq 450030769, ack 3856561848, win 14480, options [mss 1460,sackOK,TS val 2098300 ecr 2554127,nop,wscale 7], length 0.
12:24:46.500288 IP 10.10.11.46.43149 &gt; 10.10.18.42.http: Flags [S], seq 3856561847, win 14600, options [mss 1460,sackOK,TS val 2554878 ecr 0,nop,wscale 5], length 0
12:24:46.500336 IP 10.10.18.42.http &gt; 10.10.11.46.43149: Flags [S.], seq 450030769, ack 3856561848, win 14480, options [mss 1460,sackOK,TS val 2098682 ecr 2554127,nop,wscale 7], length 0
12:24:46.970717 IP 10.10.18.42.http &gt; 10.10.11.46.43149: Flags [S.], seq 450030769, ack 3856561848, win 14480, options [mss 1460,sackOK,TS val 2098800 ecr 2554127,nop,wscale 7], length 0

但是我沒有收到任何回复給機器 A.，如果我對機器 C 的解釋是正確的，數據包將作為源 ip 11.46(A) 和 18.42(C) 正在回复 A，但為什麼數據包沒有到達 A.Do我需要更多關於 B 的規則來完成這項工作。

更新

添加了 SNAT

SNAT       tcp  --  anywhere             anywhere             to:10.10.18.43:80

機器 B 上的 Tcpdump：

  15:13:38.816289 IP 10.10.11.46.44423 &gt; 10.10.18.43.http: Flags [P.], seq 2436344770:2436345215, ack 4133534960, win 892, options [nop,nop,TS val 5087771 ecr 4627759], length 445
15:13:38.816332 IP 10.10.18.43.http &gt; 10.10.18.42.http: Flags [P.], seq 2436344770:2436345215, ack 4133534960, win 892, options [nop,nop,TS val 5087771 ecr 4627759], length 445
15:13:38.817173 IP 10.10.18.42.http &gt; 10.10.18.43.http: Flags [P.], seq 1:159, ack 445, win 231, options [nop,nop,TS val 4631763 ecr 5087771], length 158
15:13:38.817206 IP 10.10.18.43.http &gt; 10.10.11.46.44423: Flags [P.], seq 1:159, ack 445, win 231, options [nop,nop,TS val 4631763 ecr 5087771], length 158
15:13:38.818819 IP 10.10.11.46.44423 &gt; 10.10.18.43.http: Flags [.], ack 159, win 926, options [nop,nop,TS val 5087772 ecr 4631763], length 0
15:13:38.818830 IP 10.10.18.43.http &gt; 10.10.18.42.http: Flags [.], ack 159, win 926, options [nop,nop,TS val 5087772 ecr 4631763], length 0

機器 C 上的 tcpdump：

15:13:38.824622 IP 10.10.18.43.http &gt; 10.10.18.42.http: Flags [P.], seq 2436344770:2436345215, ack 4133534960, win 892, options [nop,nop,TS val 5087771 ecr 4627759], length 445
15:13:38.824880 IP 10.10.18.42.http &gt; 10.10.18.43.http: Flags [P.], seq 1:159, ack 445, win 231, options [nop,nop,TS val 4631763 ecr 5087771], length 158
15:13:38.826811 IP 10.10.18.43.http &gt; 10.10.18.42.http: Flags [.], ack 159, win 926, options [nop,nop,TS val 5087772 ecr 4631763], length 0

iptables -t nat -A PREROUTING -p tcp -d 10.10.18.43 –dport 80 -j DNAT –to 10.10.18.42:80
正如khaled所指出的，機器A與來自****C的回復混淆，並拒絕了來自 C 的所有數據包。
SNAT ing source ip 修復了這個
iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT –to 10.10.18.43

您沒有告訴我們這些機器是如何連接的以及它們是否連接到單個子網。但是，我至少可以假設機器 B 和 C 在同一個子網中，而機器 A 在不同的子網中。
您的設置不會以這種方式工作。您不會收到任何回复給您的機器 A，因為伺服器 C 直接回复給機器 A，而不是通過 NATing 框（在這種情況下是伺服器 B）。
機器 A 在發送到機器 B 並從機器 C 接收響應時會感到困惑。
為了使其工作，您需要在機器 B 和 C 的網關上進行 NAT。

引用自：https://serverfault.com/questions/470969

NAT with iptables：需要幫助理解

相關問答

使用 iptables 轉發流量而不暴露真實 IP/埠

Proxmox Nat 網路問題

NAT 實例需要正確的 iptable 規則，以防止私有子網 EC2 實例傳出流量環回

IPTables -j DNAT 在某些情況下似乎不起作用

iptables DNAT 單埠

使用 IPTables NAT 將原始 IP 失去到另一台伺服器