美文网首页
用一个实例深入理解iptables的SNAT/DNAT

用一个实例深入理解iptables的SNAT/DNAT

作者: 蟹蟹宁 | 来源:发表于2021-11-29 10:59 被阅读0次

前言的前言

文中对于数据包的分析,是本文的核心中的核心, 望读者细读!

前言

这是我前几天遇到的一个实际问题:

我在实验室的服务器(物理机)上启动了一个虚拟机, 虚拟机通过网桥连接了服务器的一个网卡从加入到服务器所在的内部互连网段.

这个时候我希望通过访问服务器的指定端口, 来连接虚拟机, 注意我们访问服务器使用的是另一个网卡, 与虚拟机并不在同一个网段!

显然这需要配置DNAT, 但是配置后连接被拒绝, 百思不得解之后在知乎提问:

iptables 配置DNAT连接ssh ,为什么仍然提示端口拒绝

非常感谢

@Virtual @gongjunhe @染红了的枫叶林 三位同志的指点, 现将所学奉上.

拓扑

H-1

我的个人主机, IP为:

H-2

物理机服务器, IP为:

H-3

虚拟机, IP为:

可以看到H1和H2的em2在同一网段, H3和H2的em1在同一网段

即:

注意:

在下面的截图中,

  • H1 对应了 kingdo@kingdo-server
  • H2 对应了 kingdo@crane22
  • H3 对应了 vagrant@zhangqi

配置

初始状态

filter表的默认Target都是Accept;

nat表没有建立任何规则;

Linux的路由转发确保是打开状态.

配置DNAT

我们的目标是, 通过H2的11122端口访问H3的22端口,即:

211.69.198.211:11122 ---> 192.168.111.101:22

配置如下规则:

 sudo iptables -t nat -A PREROUTING -d 211.69.198.211 -p tcp --dport 11122 -j DNAT --to-destination 192.168.111.101:22

此时我们在H2上进行测试:

此时在H1上进行测试:

一个是拒绝连接, 一个是超时,这是为什么呢?

我们看下面这个图, 如果数据从H2上发送, 那么将会经过OUTPUT和POSTROUTING两个链,但是我们的DNAT规则其实是配置在PREOUTING中的,因此我们从H2上访问,实际上并没有进行地址转换,因此连接被拒绝!

因此我们在OUTPUT中再配置一个看看:

sudo iptables -t nat -A OUTPUT -d 211.69.198.211 -p tcp --dport 11122 -j DNAT --to-destination 192.168.111.101:22

再尝试ssh连接:

我们发现和H1一样, 超时了,很好! WHY?

我们分别打印,H2和H1连接H3的时候, H3上的抓包情况:

H2链接时:

H1连接时:

说明H3的的确收到了来自H1和H2的连接请求.

原因分析

这是因为什么呢?

因为H1和H2的数据包发送到H3, H3想返回数据,但是发现数据发不出去,因为源地址不可达!

以H1为例:

  • H1发出的,最原始数据包是:
211.69.198.232:50648  =>  211.69.198.211:111222
  • 在H2中进行DNAT后:
211.69.198.232:50648  =>  192.168.111.101:22
  • 这也就意味着, 我们必须要在H2中接收到H3发来的:
192.168.111.101:22  =>  211.69.198.232:50648
  • 然后根据DNAT回复原来的socket:
211.69.198.211:111222  =>  211.69.198.232:50648

经过上述过程, 就完成了一次通讯!

但是问题出在了第三步,那就是H3没办法将数据包发送到H2中, 因为目的地址其实是

 211.69.198.232

也即,这是H1的地址,因此即使是H3可以路由到H1(在我的机器上的确是这样的),那么也无法完成上述的环路!

怎么办呢?

配置SNAT

我们需要将包的源地址,进行SNAT转化,将其修改为H2的地址从而帮助完成环路:

sudo iptables -t nat -A POSTROUTING -d 192.168.111.101/32 -j MASQUERADE

看看,此时是否成功:

H1:

[图片上传失败...(image-eb2b58-1636597174011)]

H2:

解决问题!

那么此时完整的环路是怎样的呢?

还是以H1为例:

  • H1发出的,最原始数据包是
211.69.198.232:port1  =>  211.69.198.211:111222
  • 在H2中进行DNAT后
211.69.198.232:port1  =>  192.168.111.101:22
  • 在H2中进行SNAT后
192.168.250.22:port2  =>  192.168.111.101:22
  • H3返回数据包
192.168.111.101:22  =>  192.168.250.22:port2
  • 根据SNAT恢复
192.168.111.101:22  =>  211.69.198.232:port1
  • 根据DNAT恢复
211.69.198.211:111222  =>  211.69.198.232:port1

上述过程, 用梁耀湘的话说,那就是:畅通无阻

后记

我们来分析一下, 为什么H2不做SNAT, 也无法成功呢?

前面提到, 想要完成回路,H2必须要接收到来自H3的包, 虽然我上面的拓扑没有画, 但是其实H3是可以访问到H2.

但是依然不行, 这个是因为H3回到H2的包源地址和目标地址必须是确定的,这样才能根据DNAT的记录去恢复原来的地址.

但是H3访问H2其实也是通过SNAT转发, 这样回到H2的时候, 源地址其实已经改变了,因此依然无法完成回路.

那么如果H3可以直接把数据给到H2,是不是就不用SNAT了呢?是的!

但是我们要用H2另一个网段, 即

192.168.250.22:11122 => 192.168.111.101:22 

我们分析下环路:

  • H2发出的,最原始数据包是
192.168.250.22:port1  =>  192.168.250.22:111222
  • 进行DNAT后
192.168.250.22:port1  =>  192.168.111.101:22
  • 此时H2需要收到H3的数据包
192.168.111.101:22  =>  192.168.250.22:port1

这个关键的过程由于两者在同一网段,是可以轻松实现的.

那么这种情况下是不需要进行SNAT的.当然了,这种配置是没有价值的!

相关文章

  • iptables之SNAT与DNAT

    iptables之SNAT与DNAT

  • 用一个实例深入理解iptables的SNAT/DNAT

    前言的前言 文中对于数据包的分析,是本文的核心中的核心, 望读者细读! 前言 这是我前几天遇到的一个实际问题: 我...

  • snat和dnat

    snat和dnat怎么理解,发现不同的文章都解释了一遍,角度都不一样,很难深入。通过各个文章综合来看,应该从场景概...

  • DragonFlow SNAT + DNAT + Provid

    Table of Contents DragonFlow SNAT DNAT Provider 混合部署S...

  • SNAT、NAT、SNAT、DNAT

    LVS 由 ipvs 和 ipvsadm两部分程序组成1、 ipvs(ip virtual server):是LV...

  • iptable masquerade中源地址选择问题

    背景 在iptable/ip6table上可以在nat table上完成SNAT和DNAT操作。SNAT指将匹配i...

  • DNAT与SNAT

    SNAT (使用服务者配置) 用户私有地址想访问公网,网关将私有地址(源)转换为公网地址 需要在postrouti...

  • SNAT和DNAT

    1、SNAT SNAT,源地址转换,其作用是将ip数据包的源地址转换成另外一个地址。 名词解释: SNAT,可能有...

  • 阿里云NAT网关

    阿里云的nat网关提供SNAT、DNAT两个功能,能够绑定10个公网IP(EIP): 1.访问出去SNAT是以交换...

  • 关于NAT的总结

    NAT一般分为两大类转换源的NAT(SNAT)和转换目的的NAT(DNAT)SNAT一般是内网访问Internet...

网友评论

      本文标题:用一个实例深入理解iptables的SNAT/DNAT

      本文链接:https://www.haomeiwen.com/subject/novwzltx.html