Linux – 两个子网,一个接口,一个网关 – NAT附加子网

我们目前有几台服务器都使用相同的局域网：

Host1: eth0 10.0.0.1/24
Host2: eth0 10.0.0.2/24
Host3: eth0 10.0.0.3/24
Gateway: 10.0.0.254

我们想在这些服务器上运行一些VM(VirtualBox).我们可以将它们设置为桥接到主机的eth0,但我们不能使用10.0.0.0/24范围内的地址,因为它们将来可能会被分配.

所以我们认为我们使用不同的子网：

Host1VM: eth0 192.168.0.1/24 (bridge to host eth0)
Host2VM: eth0 192.168.0.2/24 (bridge to host eth0)
Host3VM: eth0 192.168.0.3/24 (bridge to host eth0)

这很好,并且所有VM都可以相互通信,因为它们位于使用相同物理接口的同一子网上.

我们面临的问题是我们需要通过10.0.0.254网关让这些虚拟机访问互联网.所以我们想到为什么不选择其中一个主机并将其用作路由器/ NAT？

Host1: eth0 10.0.0.1/24,eth0:0 192.168.0.254/24

现在我们可以为VM提供192.168.0.254的网关.我们看到的问题是Host1似乎没有正确的NAT.

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to 10.0.0.1

我认为这样可行,我们确实看到它匹配数据包.如果一个虚拟机ping互联网,我们看到ICMP数据包进入Host1(因为它是路由器),然后主机重新发送ICMP,因为它是NAT,互联网主机响应主机 – 但随后它死在那里.我希望主机然后将数据包转发回VM,但事实并非如此.

我错过了什么,或者这种设置根本不可能？

编辑：只是为了澄清,我们在iptables中没有DENY规则,一切都是默认的ACCEPT.我们还启用了IP转发.

Update1 – iptables

忽略virbr0 – 与VirtualBox VM无关

# Completed on Fri Sep 20 16:50:45 2013
# Generated by iptables-save v1.4.12 on Fri Sep 20 16:50:45 2013
*nat
:PREROUTING ACCEPT [171383:10358740]
:INPUT ACCEPT [1923:115365]
:OUTPUT ACCEPT [192:21531]
:POSTROUTING ACCEPT [169544:10254463]
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source 10.0.0.1
COMMIT
# Completed on Fri Sep 20 16:50:45 2013
# Generated by iptables-save v1.4.12 on Fri Sep 20 16:50:45 2013
*filter
:INPUT ACCEPT [96628707:25146145432]
:FORWARD ACCEPT [195035595:22524430122]
:OUTPUT ACCEPT [44035412:304951330498]
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Fri Sep 20 16:50:45 2013
# Generated by iptables-save v1.4.12 on Fri Sep 20 16:50:45 2013
*mangle
:PREROUTING ACCEPT [291641356:47665886851]
:INPUT ACCEPT [96628707:25146145432]
:FORWARD ACCEPT [195035595:22524430122]
:OUTPUT ACCEPT [44035838:304951365412]
:POSTROUTING ACCEPT [239078922:327477732680]
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Fri Sep 20 16:50:45 2013

更新2 – tcpdump

16:58:37.189758 IP 192.168.0.2 > 74.125.128.106: ICMP echo request,id 1,seq 2,length 40
16:58:37.189805 IP 10.0.0.1 > 74.125.128.106: ICMP echo request,length 40
16:58:37.194607 IP 74.125.128.106 > 10.0.0.1: ICMP echo reply,length 40
(no final reply back to the VM)

解决方法

这说明了：

16:58:37.189758 IP 192.168.0.2 > 74.125.128.106: ICMP echo request,length 40

上游路由器(10.0.0.254)正在将回复发送回Host1,因此您的路由和SNAT正在运行.问题是Host1没有将该回复传递回192.168.0.0/24网络.

您是否已加载适当的连接跟踪内核模块？

确保流量进入连接跟踪表：

grep src=192.168.0.2 /proc/1/net/nf_conntrack

我在前几天看到了与TCP数据包类似的问题,结果是内核中的rp_filter.我不明白这是怎么回事,但它非常相似.你可以从Host1发布路由表(ip route show)并检查你的rp_filter设置吗？ (cat / proc / sys / net / ipv4 / conf / default / rp_filter)

原文地址：https://www.jb51.cc/linux/398341.html