Red Hat Training

A Red Hat training course is available for RHEL 8

41.4. 使用 nftables 配置 NAT

有了 nftables ，您就可以配置以下网络地址转换(NAT)类型：

  • 伪装
  • 源 NAT（SNAT）
  • 目标 NAT（DNAT）
  • 重定向
重要

您只能在 iifname 和 oifname 参数中使用实际的接口名称，不支持替代名称(altname)。

41.4.1. NAT 类型

这些是不同的网络地址转换（NAT）类型：

伪装和源 NAT（SNAT）

使用以上 NAT 类型之一更改数据包的源 IP 地址。例如，互联网服务提供商(ISP)不会路由私有 IP 范围，如 10.0.0.0/8。如果您在网络中使用私有 IP 范围，用户应该能够访问互联网上的服务器，请将来自这些范围的数据包的源 IP 地址映射为公共 IP 地址。

伪装和 SNAT 相互类似。不同之处是：

  • 伪装自动使用传出接口的 IP 地址。因此，如果传出接口使用了动态 IP 地址，则使用伪装。
  • SNAT 将数据包的源 IP 地址设置为指定的 IP 地址，且不会动态查找传出接口的 IP 地址。因此，SNAT 要比伪装更快。如果传出接口使用了固定 IP 地址，则使用 SNAT。
目标 NAT（DNAT）
使用此 NAT 类型重写传入数据包的目标地址和端口。例如，如果您的 Web 服务器使用来自私有 IP 范围的 IP 地址，因此无法直接从互联网访问，您可以在路由器上设置 DNAT 规则，来将传入的流量重定向到此服务器。
重定向
这个类型是 IDT 的特殊示例，它根据链 hook 将数据包重定向到本地机器。例如，如果服务运行在与其标准端口不同的端口上，您可以将传入的流量从标准端口重定向到此特定端口。

41.4.2. 使用 nftables 配置伪装

伪装使路由器动态地更改通过接口到接口 IP 地址发送的数据包的源 IP。这意味着，如果接口被分配了一个新 IP，nftables 会在替换源 IP 时自动使用新的 IP。

将通过 ens3 接口离开主机的数据包源 IP 替换为 ens3 上设置的 IP。

流程

  1. 创建一个表： 

    # nft add table nat

  2. 向表中添加 prerouting 和 postrouting 链： 

    # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
    重要

    即使您没有向 prerouting 链中添加规则，nftables 框架也会要求此链与传入的数据包回复匹配。

    请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

  3. 向 postrouting 链中添加一条规则，来匹配 ens3 接口上传出的数据包： 

    # nft add rule nat postrouting oifname "ens3" masquerade

41.4.3. 使用 nftables 配置源 NAT

在路由器中，源 NAT（SNAT）可让您将通过接口发送的数据包 IP 改为专门的 IP 地址。然后，路由器会替换传出数据包的源 IP。

流程

  1. 创建一个表： 

    # nft add table nat

  2. 向表中添加 prerouting 和 postrouting 链： 

    # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
    重要

    即使您没有向 postrouting 链添加规则，nftables 框架也会要求此链与传出数据包回复相匹配。

    请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

  3. 向 postrouting 链中添加一条规则，该规则将使用 192.0.2.1 替换通过ens3 的传出数据包的源 IP ： 

    # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

其他资源

41.4.4. 使用 nftables 配置目标 NAT

目标 NAT (DNAT)可让您将路由器上的流量重定向到无法直接从互联网访问的主机。

例如，对于 DNAT，路由器将发送到端口 80 和 443 的传入流量重定向到 IP 地址为 192.0.2.1 的 Web 服务器。

流程

  1. 创建一个表： 

    # nft add table nat

  2. 向表中添加 prerouting 和 postrouting 链： 

    # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
# nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
    重要

    即使您没有向 postrouting 链添加规则，nftables 框架也会要求此链与传出数据包回复相匹配。

    请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

  3. 向 prerouting 链中添加一条规则，该规则将到路由器的 ens3 接口上端口 80 和 443 的传入流量重定向到 IP 地址为 192.0.2.1 的 web 服务器： 

    # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

  4. 根据您的环境，添加 SNAT 或伪装规则，将从 Web 服务器返回的数据包的源地址改为发送者：

    1. 如果 ens3 接口使用动态 IP 地址，请添加一条伪装规则： 

      # nft add rule nat postrouting oifname "ens3" masquerade

    2. 如果 ens3 接口使用静态 IP 地址，请添加一条 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址： 

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

  5. 启用数据包转发： 

    # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
# sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

其他资源

41.4.5. 使用 nftables 配置重定向

重定向 功能是目标网络地址转换(DNAT)的一种特殊情况，它根据链 hook 将数据包重定向到本地计算机。

例如，您可以将发送到本地主机端口 22 的流量重定向到端口 2222。

流程

  1. 创建一个表： 

    # nft add table nat

  2. 向表中添加 prerouting 链： 

    # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

    请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

  3. 向 prerouting 链中添加一条规则，其将端口 22 上的传入流量重定向到端口 2222 ： 

    # nft add rule nat prerouting tcp dport 22 redirect to 2222

其他资源

41.4.6. 使用 nftables 配置流表

nftables 工具使用 netfilter 框架为网络流量提供网络地址转换(NAT)，并提供基于快速路径功能的 流表 机制来加快数据包转发。

流表机制具有以下功能：

  • 使用连接跟踪来绕过经典的数据包转发路径。
  • 避免通过绕过经典数据包处理来重新访问路由表。
  • 只适用于 TCP 和 UDP 协议。
  • 硬件独立软件快速路径.

流程

  1. 添加 inet 系列的 example-table 表： 

    # nft add table inet <example-table>

  2. 添加一个 ingress 钩子和 filter 作为优先级类型的 example-flowtable 流表： 

    # nft add flowtable inet <example-table> <example-flowtable> { hook ingress priority filter \; devices = { enp1s0, enp7s0 } \; }

  3. 将 example-forwardchain 流添加到数据包处理表中的流表： 

    # nft add chain inet <example-table> <example-forwardchain> { type filter hook forward priority filter \; }

    此命令添加了一个具有 forward 钩子和 filter 优先级的 filter 类型的流表。

  4. 添加一个具有 established 连接跟踪状态的规则，以卸载 example-flowtable 流： 

    # nft add rule inet <example-table> <example-forwardchain> ct state established flow add @<example-flowtable>

验证

  • 验证 example-table 的属性： 

    # nft list table inet <example-table>
table inet example-table {
    	flowtable example-flowtable {
     		hook ingress priority filter
           devices = { enp1s0, enp7s0 }
    	}

    	chain example-forwardchain {
type filter hook forward priority filter; policy accept;
ct state established flow add @example-flowtable
    }
}

其他资源

  • nft(8) 手册页