web-dev-qa-db-ja.com

NAT複数の内部および外部インターフェイスを備えたボックス

同様の質問が 質問前 ですが、私の設定は少し異なり、それらの質問の解決策は機能していません。 5つのインターフェイスでiptablesを実行しているCentOS6サーバーがあります。

  • eth0：管理136.2.188.0/24
  • eth1：Cluster1内部10.1.0.0/16
  • eth2：Cluster1外部136.2.217.96/27
  • eth3：Cluster2内部10.6.0.0/20
  • eth4：Cluster2外部136.2.178.32/28

私がやろうとしているのは、eth1からのトラフィックがeth2から出てNATされるようにし、eth3からのトラフィックがeth4から出てNATされるようにし、他のすべてのトラフィック（たとえば、ボックス自体へのSSH）がeth0を使用するようにすることです。

そのために、ルートテーブルを次のように構成しました。

ip route add default via 136.2.178.33 src 136.2.178.37 table 1
ip route add default via 136.2.217.97 src 136.2.217.124 table 2

ip rule add fwmark 1 pref 1 table 1
ip rule add fwmark 2 pref 2 table 2

ソースIPは、NATボックスのIPです。管理インターフェースが使用する通常のデフォルトルートは、通常どおり、テーブル0にあります。

次に、マングルテーブルを使用してパケットをマークするようにiptablesを構成し、特定のルートテーブル（これを正しく理解している場合）とNAT特定のインターフェイスへの特定の送信元トラフィックを使用するようにしました：

iptables -A PREROUTING -t mangle -j CONNMARK --restore-mark
iptables -A PREROUTING -t mangle -m mark --mark 0x0 -s 10.6.0.0/20 -j MARK --set-mark 1
iptables -A PREROUTING -t mangle -m mark --mark 0x0 -s 10.1.0.0/16 -j MARK --set-mark 2
iptables -A POSTROUTING -t mangle -j CONNMARK --save-mark
iptables -A POSTROUTING -t nat -s 10.6.0.0/20 -o eth4 -j MASQUERADE
iptables -A POSTROUTING -t nat -s 10.1.0.0/16 -o eth2 -j MASQUERADE
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j LOG --log-level debug
iptables -A FORWARD -m state --state NEW -s 10.6.0.0/20 -o eth4 -j ACCEPT
iptables -A FORWARD -m state --state NEW -s 10.1.0.0/16 -o eth2 -j ACCEPT
iptables -A FORWARD -j DROP

これをテストすると（クライアントマシンからのgoogle.comの単純なwget）、トラフィックが内部インターフェイス（テストではeth3）に入ってから、NATボックスの外部IPをソースIPとして使用します。したがって、NAT自体が機能します。ただし、システムが応答パケットを受信すると、eth4にあるはずですが、何も起こりません。 NATされず、eth3に表示されてクライアントマシンに戻ることはありません。

内部インターフェース：

11:52:08.570462 IP 10.6.0.50.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 34573 ecr 0,nop,wscale 7], length 0
11:52:09.572867 IP 10.6.0.50.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 35576 ecr 0,nop,wscale 7], length 0
11:52:11.576943 IP 10.6.0.50.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 37580 ecr 0,nop,wscale 7], length 0
11:52:15.580846 IP 10.6.0.50.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 41584 ecr 0,nop,wscale 7], length 0
11:52:23.596897 IP 10.6.0.50.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 49600 ecr 0,nop,wscale 7], length 0

外部インターフェース：

11:52:08.570524 IP 136.2.178.37.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 34573 ecr 0,nop,wscale 7], length 0
11:52:08.609213 IP 74.125.198.103.80 > 136.2.178.37.50783: Flags [S.], seq 1197168065, ack 4030201377, win 42540, options [mss 1380,sackOK,TS val 1835608368 ecr 34573,nop,wscale 7], length 0
11:52:08.909188 IP 74.125.198.103.80 > 136.2.178.37.50783: Flags [S.], seq 1197168065, ack 4030201377, win 42540, options [mss 1380,sackOK,TS val 1835608668 ecr 34573,nop,wscale 7], length 0
11:52:09.572882 IP 136.2.178.37.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 35576 ecr 0,nop,wscale 7], length 0
11:52:09.611414 IP 74.125.198.103.80 > 136.2.178.37.50783: Flags [S.], seq 1197168065, ack 4030201377, win 42540, options [mss 1380,sackOK,TS val 1835609370 ecr 34573,nop,wscale 7], length 0
11:52:11.576967 IP 136.2.178.37.50783 > 74.125.198.103.80: Flags [S], seq 4030201376, win 14600, options [mss 1460,sackOK,TS val 37580 ecr 0,nop,wscale 7], length 0

では、なぜトラフィックが出ているのに、iptablesがリターントラフィックをクライアントに送り返さないのでしょうか。パケットは正しいインターフェイスを出入りするため、ルーティングは正しいようです。iptablesはリターントラフィックで何をしているのでしょうか。

linuxiptablesroutingnatipv4
3
BrainScratch

OK、わかりました。私がしなければならなかったことは、内部サブネットルートを各ルートテーブルに追加し、ルールを設定して、どのインターフェイストラフィックルートへ/からトラフィックをルーティングするかを制御することでした。次に、iptablesでは、マングルテーブルでパケットをマークする必要はなく、通常のフォワードルールとNATルールだけでした。

ip route add 136.2.178.32/28 dev eth4 table 1
ip route add 10.6.0.0/20 dev eth3 table 1
ip route add default via 136.2.178.33 src 136.2.178.37 table 1
ip rule add iif eth4 table 1
ip rule add from 10.6.0.0/20 table 1

ip route add 136.2.217.96/28 dev eth2 table 2
ip route add 10.1.0.0/16 dev eth1 table 2
ip route add default via 136.2.217.113 src 136.2.217.124 table 2
ip rule add iif eth2 table 2
ip rule add from 10.1.0.0/16 table 2

iptables -A FORWARD -i eth2 -o eth1 -m state --state RELATED,ESTABLISHED -j     ACCEPT
iptables -A FORWARD -i eth1 -o eth2 -m state --state NEW -j LOG --log-level debug
iptables -A FORWARD -i eth1 -o eth2 -j ACCEPT
iptables -A FORWARD -i eth4 -o eth3 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth3 -o eth4 -m state --state NEW -j LOG --log-level debug
iptables -A FORWARD -i eth3 -o eth4 -j ACCEPT
iptables -A FORWARD -j REJECT --reject-with icmp-Host-prohibited
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth4 -j MASQUERADE
1
BrainScratch