当应用于本地目的地流量时，DNAT 和 REDIRECT 是否等效？

Question

在设置我们的 OpenStack 环境时，我遇到了一个问题，即阻止实例联系在主机上运行的服务器。元数据服务（暴露 HTTP API）在主机的 8775 端口上运行，OpenStack 网络代码添加以下 DNAT 规则以通过端口 80 上的特殊地址授予访问权限：

-A PREROUTING -d 169.254.169.254/32 
  -p tcp -m tcp --dport 80 -j DNAT --to-destination 127.0.0.1:8775 

实例通过本地桥接设备连接到主机，并169.254.169.254分配给lo.

虽然此规则成功匹配来自尝试访问的来宾实例的数据包http://169.254.168.254/，但它们永远不会到达侦听服务。

用基本上等效的 REDIRECT 替换此 DNAT 规则可使一切正常工作：

-A PREROUTING -d 169.254.169.254/32 
  -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8775 

我试图理解为什么 REDIRECT 起作用而 DNAT 失败。从 iptables 文档中不清楚该DNAT规则是否适用于本地目标流量。我希望这里有人可以提供权威的答案，最好有文档支持，或者可以建议我的配置中可能有什么问题阻止了 DNAT 规则按预期工作。

Answer 1

您尝试做的事情被内核明确拒绝。

您无法将数据包从非 127/8 地址发送到 127/8。内核将它们过滤掉并丢弃它们，因为它认为它们是“火星人”。

这可能是因为rp_filter默认为打开而发生的。禁用它可能会改变这种行为（尽管这会禁用一些潜在的关键安全保护）。

使用重定向，您不会更改 IP，这就是它起作用的原因。换句话说，如果您要使用 DNAT，您可以将其发送到127.0.0.0/8之外的任何地址。