如何使用 iptables 在接口之间正确转发 TCP 和 UDP 流量？

Question

服务器A

• eth0 互联网接口
• wg0 VPN 接口 10.66.66.1

服务器B

• wg0 VPN 接口 10.66.66.2

如何使用 iptables 将流量从 eth0 转发到 wg0 10.66.66.2？我想将以下 TCP 和 UDP 端口转发到ServerB

TCP： 2302、27015-27030、27036-27037 UDP： 2302、4380、27000-27031、27036

我已经尝试过转发所有短信，但无济于事。

sudo iptables -A FORWARD --in-interface eth0 -j ACCEPT
sudo iptables --table nat -A POSTROUTING --out-interface wg0 -j MASQUERADE

编辑：

iptables -L我需要注意遗留 iptables 和“正常”iptables 之间的歧义吗？

[root@vmd40065 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
# Warning: iptables-legacy tables present, use iptables-legacy to see them

[root@vmd40065 ~]# iptables-legacy -L
bash: iptables-legacy: command not found...

Answer 1

IP转发

如何使用 iptables 将流量从 eth0 转发到 wg0 10.66.66.2？

你无法（单独）使用 iptables 来做到这一点。使用 iptables，您可以执行过滤和 NAT，但 iptables 不执行数据包转发。

要转发传入的数据包，您需要在内核中启用 IP 转发。使用该命令sysctl net.ipv4.ip_forward可以检查 IP 转发是否已启用。

引用Linux 内核文档：

0 - disabled (default)
not 0 - enabled

Forward Packets between interfaces.

您可以通过执行来启用此更改sysctl net.ipv4.ip_forward=1，但此更改不是永久性的，它会在重新启动时重置。要使其永久化，您需要net.ipv4.ip_forward = 1在 sysctl 配置文件之一（例如/etc/sysctl.conf）中添加一个配置条目 ( )。请参阅man sysctl.conf参考资料 以获得配置文件的完整列表。

如果您想限制转发的内容，您可以向FORWARD规则添加更多参数，例如：

• --protocol tcp或者--protocol udp
• --destination-port 27000:27031

如果需要，请参阅man iptables和iptables-extensions了解更多参数。

请注意，如果链策略无论如何都是 ACCEPT 并且您没有任何 DROP 规则，则向 FORWARD 链添加ACCEPT规则不会产生任何影响。

网络地址转换

POSTROUTING链中的 iptables SNAT 规则看起来是正确的。

如果来自 eth0 的流量尚未将其目标地址设置为，那么您还需要在PREROUTING10.66.66.2链中添加 DNAT 规则。这是修改数据包的目的地址，以便路由可以相应地选择出接口。这应该是这样的：

iptables --table nat --append PREROUTING --in-interface eth0
--protocol udp --destination-port 27000:27031
--jump DNAT --to-destination 10.66.66.2:27000-27031

调试

出于调试目的，它可能会有所帮助：

• 观察两台服务器上的流量tcpdump。
• --verbose列出规则时添加到 iptables。这样您就可以看到有多少数据包（如果有）受到哪个规则的影响。