修正する

Question

少し遅れていることがわかりますが…知るどのIPを担当しますか？これは私が作成したルールファイルの一番上に置いたスキーマです。同様のフローチャートを他の場所でも見つけることができますが、端末で非常に便利なASCII形式（アートと呼びたくありません）です。

ほとんどの場合、私はこれを頭の中で知っていますが、忘れたとしても参考にするのも悪くありません。

###############################################################################
###
###            PACKET FLOW THROUGH NETFILTER TABLES AND CHAINS
###
###
###                          {Packet in}
###                               |
###                               v
###                       +-----------------+
###                       |mangle/PREROUTING|
###                       +-----------------+
###                               |
###                               v
###                       +-----------------+
###                       |  nat/PREROUTING |
###                       +-----------------+
###                               |
###                               v
###                       *~~~~~~~~~~~~~~~~~*
###                       |  kernel routing |
###                       *~~~~~~~~~~~~~~~~~*
###                               |
###                               v
###           .------------{?for this host?}------------.
###      yes! |                                         | no!
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   mangle/INPUT  |                       |  mangle/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   filter/INPUT  |                       |  filter/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         |
### *~~~~~~~~~~~~~~~~~~~~*                              |
### | response & routing |                              |
### *~~~~~~~~~~~~~~~~~~~~*                              |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  mangle/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |    nat/OUTPUT   |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  filter/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           .-------------------+---------------------.
###                               |
###                               v
###                      +------------------+
###                      |mangle/POSTROUTING|
###                      +------------------+
###                               |
###                               v
###                      +------------------+
###                      |  nat/POSTROUTING |
###                      +------------------+
###                               |
###                               v
###                          {Packet out}
###
###############################################################################

どういう意味ですか？

ルーティングは、ルーティングテーブル（上記のフローチャートの「カーネルルーティング」）を使用するか、netfilterを使用して実行できます。これで、最も可能性の高いシナリオの場合、ルーティングテーブルを適切に設定しないと、カーネルはパケットがどこに行くべきかを知らず、最終的にパケットを破棄します。注：この場合は、カスタムチェーンを作成してLOGからDROPその順序でルールを追加すると便利です。これにより、どのルールが影響を受けるかを確認できます。iptables-save -cチェーンに追加する方法[packets:bytes]と同様に、各ルール行にパケットとバイトカウンタを追加することも便利です。

仮想マシンに転送するポートには、DNAT次のレシピがあります（以下に説明します）。

#!/bin/bash
VMNET=192.168.1.0/24
MAINIP=66.249.67.195
CONTIP=192.168.1.2
VMPORT=80
INPORT=80
ACTION="-I"
iptables -t nat    $ACTION PREROUTING  -d $MAINIP -p tcp --dport $INPORT -j DNAT --to-destination $CONTIP:$VMPORT
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p tcp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p udp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -j MASQUERADE
iptables -t filter $ACTION INPUT       -p tcp -d $MAINIP --dport $INPORT -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $VMNET -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $MAINIP -j ACCEPT

自分のルールに合わせて順序を変更することもできます。また、OUTPUTチェーンにACCEPTデフォルトポリシーがない場合は、出力ルールを追加する必要があります。ただし、すべての実用的な目的のためには、RELATED,ESTABLISHED状態規則を使用してそれを満たす必要があります。ワイルドカードを介して一致または一致するようにインターフェイスを絞り込むこともできます。たとえば、仮想ゲストのブリッジにすべてのプレフィックス（アンダースコア）を指定して、と_一致するようにしました。同様に、複数のネットワークカード（、）の場合と一致させることができます。-i _+-o _+eth0eth1-i eth+

ここで何が起こるかは次のとおりです。

DNAT$INPORTTCP（ホスト）ポートから入力を受け入れ、それを$CONTIP:$VMPORTコンテナのIPとコンテナのポートに「ルーティング」する規則を挿入します。はい、異なる場合があります。そうでない場合は、ターゲット部分を省略できます（例：「$ CONTIP」）。
トラフィックマスキングのための3つのルール~から仮想ゲストサブネットがありますが、行かない到着別の仮想ゲスト。
INPUTパブリックIP（インターフェイスは提供されていませんが、おそらく！）ポートからの着信パケットの通過を許可するルールです$INPORT。少なくともパブリックインターフェイスにバインドする場合は、このルールが厳密に必要ではないと思います。
$INPORT仮想ゲストサブネットにトラフィックを転送するルール（$VMNET）
$INPORTパブリックIPにトラフィックを転送する$MAINIPルール（）

sysctl最後に、（）の値は次のよう/proc/sys/net/ipv4/ip_forwardになります。

# cat /proc/sys/net/ipv4/ip_forward
1

ホストをルーターにします。

echo 1上記の「ファイル」に書かないprocfs場合。sysctl -w net.ipv4.ip_forward=1root

Answer 1

少し遅れていることがわかりますが…知るどのIPを担当しますか？これは私が作成したルールファイルの一番上に置いたスキーマです。同様のフローチャートを他の場所でも見つけることができますが、端末で非常に便利なASCII形式（アートと呼びたくありません）です。

ほとんどの場合、私はこれを頭の中で知っていますが、忘れたとしても参考にするのも悪くありません。

###############################################################################
###
###            PACKET FLOW THROUGH NETFILTER TABLES AND CHAINS
###
###
###                          {Packet in}
###                               |
###                               v
###                       +-----------------+
###                       |mangle/PREROUTING|
###                       +-----------------+
###                               |
###                               v
###                       +-----------------+
###                       |  nat/PREROUTING |
###                       +-----------------+
###                               |
###                               v
###                       *~~~~~~~~~~~~~~~~~*
###                       |  kernel routing |
###                       *~~~~~~~~~~~~~~~~~*
###                               |
###                               v
###           .------------{?for this host?}------------.
###      yes! |                                         | no!
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   mangle/INPUT  |                       |  mangle/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         v
###  +-----------------+                       +-----------------+
###  |   filter/INPUT  |                       |  filter/FORWARD |
###  +-----------------+                       +-----------------+
###           |                                         |
###           v                                         |
### *~~~~~~~~~~~~~~~~~~~~*                              |
### | response & routing |                              |
### *~~~~~~~~~~~~~~~~~~~~*                              |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  mangle/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |    nat/OUTPUT   |                                |
###  +-----------------+                                |
###           |                                         |
###           v                                         |
###  +-----------------+                                |
###  |  filter/OUTPUT  |                                |
###  +-----------------+                                |
###           |                                         |
###           .-------------------+---------------------.
###                               |
###                               v
###                      +------------------+
###                      |mangle/POSTROUTING|
###                      +------------------+
###                               |
###                               v
###                      +------------------+
###                      |  nat/POSTROUTING |
###                      +------------------+
###                               |
###                               v
###                          {Packet out}
###
###############################################################################

どういう意味ですか？

ルーティングは、ルーティングテーブル（上記のフローチャートの「カーネルルーティング」）を使用するか、netfilterを使用して実行できます。これで、最も可能性の高いシナリオの場合、ルーティングテーブルを適切に設定しないと、カーネルはパケットがどこに行くべきかを知らず、最終的にパケットを破棄します。注：この場合は、カスタムチェーンを作成してLOGからDROPその順序でルールを追加すると便利です。これにより、どのルールが影響を受けるかを確認できます。iptables-save -cチェーンに追加する方法[packets:bytes]と同様に、各ルール行にパケットとバイトカウンタを追加することも便利です。

仮想マシンに転送するポートには、DNAT次のレシピがあります（以下に説明します）。

#!/bin/bash
VMNET=192.168.1.0/24
MAINIP=66.249.67.195
CONTIP=192.168.1.2
VMPORT=80
INPORT=80
ACTION="-I"
iptables -t nat    $ACTION PREROUTING  -d $MAINIP -p tcp --dport $INPORT -j DNAT --to-destination $CONTIP:$VMPORT
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p tcp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -p udp -j MASQUERADE --to-ports 1024-65535
iptables -t nat    $ACTION POSTROUTING -s $VMNET ! -d $VMNET -j MASQUERADE
iptables -t filter $ACTION INPUT       -p tcp -d $MAINIP --dport $INPORT -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $VMNET -j ACCEPT
iptables -t filter $ACTION FORWARD     -p tcp --dport $INPORT -d $MAINIP -j ACCEPT

自分のルールに合わせて順序を変更することもできます。また、OUTPUTチェーンにACCEPTデフォルトポリシーがない場合は、出力ルールを追加する必要があります。ただし、すべての実用的な目的のためには、RELATED,ESTABLISHED状態規則を使用してそれを満たす必要があります。ワイルドカードを介して一致または一致するようにインターフェイスを絞り込むこともできます。たとえば、仮想ゲストのブリッジにすべてのプレフィックス（アンダースコア）を指定して、と_一致するようにしました。同様に、複数のネットワークカード（、）の場合と一致させることができます。-i _+-o _+eth0eth1-i eth+

ここで何が起こるかは次のとおりです。

DNAT$INPORTTCP（ホスト）ポートから入力を受け入れ、それを$CONTIP:$VMPORTコンテナのIPとコンテナのポートに「ルーティング」する規則を挿入します。はい、異なる場合があります。そうでない場合は、ターゲット部分を省略できます（例：「$ CONTIP」）。
トラフィックマスキングのための3つのルール~から仮想ゲストサブネットがありますが、行かない到着別の仮想ゲスト。
INPUTパブリックIP（インターフェイスは提供されていませんが、おそらく！）ポートからの着信パケットの通過を許可するルールです$INPORT。少なくともパブリックインターフェイスにバインドする場合は、このルールが厳密に必要ではないと思います。
$INPORT仮想ゲストサブネットにトラフィックを転送するルール（$VMNET）
$INPORTパブリックIPにトラフィックを転送する$MAINIPルール（）

sysctl最後に、（）の値は次のよう/proc/sys/net/ipv4/ip_forwardになります。

# cat /proc/sys/net/ipv4/ip_forward
1

ホストをルーターにします。

echo 1上記の「ファイル」に書かないprocfs場合。sysctl -w net.ipv4.ip_forward=1root

修正する

修正する

ベストアンサー1

おすすめ記事