iptables chuyển hướng các yêu cầu bên ngoài đến 127.0.0.1

Tôi có một dịch vụ chạy trên 127.0.0.1 với cổng 2222. Tôi cần chuyển tiếp tất cả các yêu cầu tới 192.168.2.2:2222 (IP bên ngoài) chỉ từ mạng con 192.168.1.0/24 đến 127.0.0.1:2222.

Tôi đang cố gắng sử dụng nó, nhưng nó không hoạt động.

$ iptables -t nat -I PREROUTING -p tcp -d 192.168.1.0/24 --dport 2222 -j DNAT --to-destination 127.0.0.1:2222

Làm thế nào tôi có thể làm điều này để làm việc?

CẬP NHẬT: Chỉnh sửa sơ đồ địa chỉ.

Quy tắc iptables bạn đang sử dụng sẽ hoạt động, nhưng có một thay đổi bổ sung bạn cần thực hiện:

sysctl -w net.ipv4.conf.eth0.route_localnet=1

(thay thế eth0bằng nic 192.168.2.2cư trú trên)

Theo mặc định, giá trị này là 0, hướng dẫn kernel không định tuyến lưu lượng truy cập bên ngoài 127.0.0.0/8. Điều này chỉ để bảo mật vì lưu lượng như vậy là không bình thường.

Lưu ý thêm: quy tắc iptables hiện tại của bạn quá rộng. Quy tắc của bạn chỉ định -d 192.168.1.0/24 --dport 2222là đối sánh đích, nghĩa là nếu máy của bạn cố gắng nói chuyện với một máy chủ khác trên cổng 2222 (tức là lưu lượng truy cập đi), nó cũng sẽ được chuyển hướng. Bạn có thể cần phải thay đổi -dtrận đấu thành -d 192.168.2.2, hoặc thêm -i eth0(hoặc bất cứ điều gì nic của bạn).

Bạn có thể chuyển hướng đến localhost nhưng không chuyển sang loopback (127.0.0.0/8). Loopback là một lỗ hổng. Bạn phải chuyển hướng đến một trong những giao diện thực sự của bạn. Hãy thử sử dụng GIẢM.

iptables -t nat -A PREROUTING ..... -j REDIRECT --to-port 222

Điều gì xảy ra nếu câu trả lời đúng với route_localnetkhông hoạt động? ..

Nếu kernel của bạn không bao gồm bản vá choroute_localnet , thì ... hãy nâng cấp kernel!

Hoặc có nhiều cách khác để chuyển tiếp lưu lượng truy cập đến một giao diện sang một cổng khác trên giao diện khác (cụ thể là đến localhost) bằng cách chạy một quy trình nghe trên giao diện bên ngoài và chuyển tiếp lưu lượng.

netcat( nc), xinetdvà ssh(và có lẽ nhiều hơn) là tất cả các ví dụ về các chương trình có thể làm điều này (mặc dù việc chọn sshsẽ là lạ và không hiệu quả).

Tôi đã viết một cấu hình cho xinetdviệc này. Bây giờ dịch vụ này được tự động đưa lên:

# cat /etc/xinetd.d/z-from-outside 
# default: off
# description: Forward connections to the z port.
service z-from-outside
{
    disable         = no
    socket_type     = stream
    type        = UNLISTED
    wait            = no
    user            = nobody
    bind        = vaio.ob
    port        = 7070
    redirect    = localhost 7070
}
# 

( vaio.oblà tên của máy chủ này trên giao diện mạng bên ngoài.)

Sau khi service xinetd reload, hãy kiểm tra xem nó có nghe không:

# lsof -i -P | fgrep 7070
xinetd    556      root    6u  IPv4 1797906      0t0  TCP vaio.ob:7070 (LISTEN)
sshd    27438 tun_zzoom    4u  IPv4 1059100      0t0  TCP localhost.localdomain:7070 (LISTEN)
# 

Và thực sự, các kết nối đã đi qua!