用一个实例深入理解iptables的SNAT/DNAT

Posted 2023-03-22

参考技术A

文中对于数据包的分析,是本文的核心中的核心, 望读者细读!

这是我前几天遇到的一个实际问题:

我在实验室的服务器(物理机)上启动了一个虚拟机, 虚拟机通过网桥连接了服务器的一个网卡从加入到服务器所在的 内部互连网段 .

这个时候我希望通过访问服务器的指定端口, 来连接虚拟机, 注意我们访问服务器使用的是另一个网卡, 与虚拟机并不在同一个网段!

显然这需要配置DNAT, 但是配置后连接被拒绝, 百思不得解之后在知乎提问:

iptables 配置DNAT连接ssh ,为什么仍然提示端口拒绝

非常感谢

@Virtual @gongjunhe @染红了的枫叶林 三位同志的指点, 现将所学奉上.

我的个人主机, IP为:

物理机服务器, IP为:

虚拟机, IP为:

可以看到H1和H2的em2在同一网段, H3和H2的em1在同一网段

即:

注意:

在下面的截图中,

filter表的默认Target都是Accept;

nat表没有建立任何规则;

Linux的路由转发确保是打开状态.

我们的目标是, 通过H2的11122端口访问H3的22端口,即:

配置如下规则:

此时我们在H2上进行测试:

此时在H1上进行测试:

一个是拒绝连接, 一个是超时,这是为什么呢?

我们看下面这个图, 如果数据从H2上发送, 那么将会经过OUTPUT和POSTROUTING两个链,但是我们的DNAT规则其实是配置在PREOUTING中的,因此我们从H2上访问,实际上并没有进行地址转换,因此连接被拒绝!

因此我们在OUTPUT中再配置一个看看:

再尝试ssh连接:

我们发现和H1一样, 超时了,很好! WHY?

我们分别打印,H2和H1连接H3的时候, H3上的抓包情况:

H2链接时:

H1连接时:

说明H3的的确收到了来自H1和H2的连接请求.

这是因为什么呢?

因为H1和H2的数据包发送到H3, H3想返回数据,但是发现数据发不出去,因为源地址不可达!

以H1为例:

经过上述过程, 就完成了一次通讯!

但是问题出在了第三步,那就是H3没办法将数据包发送到H2中, 因为目的地址其实是

也即,这是H1的地址,因此即使是H3可以路由到H1(在我的机器上的确是这样的),那么也无法完成上述的环路!

怎么办呢?

我们需要将包的源地址,进行SNAT转化,将其修改为H2的地址从而帮助完成环路:

看看,此时是否成功:

H1:

[图片上传失败...(image-eb2b58-1636597174011)]

H2:

解决问题!

那么此时完整的环路是怎样的呢?

还是以H1为例:

上述过程, 用梁耀湘的话说,那就是: 畅通无阻

我们来分析一下, 为什么H2不做SNAT, 也无法成功呢?

前面提到, 想要完成回路,H2必须要接收到来自H3的包, 虽然我上面的拓扑没有画, 但是其实H3是可以访问到H2.

但是依然不行, 这个是因为H3回到H2的包源地址和目标地址必须是确定的,这样才能根据DNAT的记录去恢复原来的地址.

但是H3访问H2其实也是通过SNAT转发, 这样回到H2的时候, 源地址其实已经改变了,因此依然无法完成回路.

那么如果H3可以直接把数据给到H2,是不是就不用SNAT了呢?是的!

但是我们要用H2另一个网段, 即

我们分析下环路:

这个关键的过程由于两者在同一网段,是可以轻松实现的.

那么这种情况下是不需要进行SNAT的.当然了,这种配置是没有价值的!