So richten Sie Linux Server als Router mit NAT ein

Wir haben einen einfachen Router mit symmetrischem NAT, aber da dieser Router keine Debugging-Schnittstelle bietet, können wir nicht herausfinden, ob ein bestimmtes Paket das NAT erreicht oder nicht.

Daher möchten wir einen LINUX-Computer einrichten, der ihn zu einem Router mit symmetrischem NAT macht. Auf diese Weise können wir alle Pakete zu diesem "NAT" erfassen und die gewünschten Informationen abrufen. Wie können wir das unter Linux machen (Fedora-System, Kernel 2.6.xx)?

Um einen Linux-Computer als Router festzulegen, benötigen Sie Folgendes

1- Aktivieren Sie die Weiterleitung auf der Box mit

echo 1 > /proc/sys/net/ipv4/ip_forward

Angenommen, Ihre öffentliche Schnittstelle ist eth1 und die lokale Schnittstelle ist eth0

2- Legen Sie die Natting-Regel fest mit:

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

3- Akzeptiere Verkehr von eth0:

iptables -A INPUT -i eth0 -j ACCEPT

4- Zulassen, dass Verbindungen über die öffentliche Schnittstelle hergestellt werden.

iptables -A INPUT -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

5- Ausgehende Verbindungen zulassen:

iptables -A OUTPUT -j ACCEPT

Dies ist das einfache Skript, das den Trick ausführen kann, den es vom Router benötigt. Es ist auf UBUNTU 16.04 gut getestet

#!/bin/bash
# This script is written to make your Linux machine Router
# With this you can setup your linux machine as gateway.
# Author @ Mansur Ul Hasan
# Email  @ [email protected]

  # Defining interfaces for gateway.
  INTERNET=eth1
  LOCAL=eth0

# IMPORTANT: Activate IP-forwarding in the kernel!

   # Disabled by default!
   echo "1" > /proc/sys/net/ipv4/ip_forward

   # Load various modules. Usually they are already loaded 
   # (especially for newer kernels), in that case 
   # the following commands are not needed.

   # Load iptables module:
   modprobe ip_tables

   # activate connection tracking
   # (connection's status are taken into account)
   modprobe ip_conntrack

   # Special features for IRC:
   modprobe ip_conntrack_irc

   # Special features for FTP:
   modprobe ip_conntrack_ftp

   # Deleting all the rules in INPUT, OUTPUT and FILTER   
   iptables --flush

   # Flush all the rules in nat table 
   iptables --table nat --flush

   # Delete all existing chains
   iptables --delete-chain

   # Delete all chains that are not in default filter and nat table
   iptables --table nat --delete-chain

   # Allow established connections from the public interface.
   iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED,RELATED -j ACCEPT

   # Set up IP FORWARDing and Masquerading
   iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE
   iptables --append FORWARD --in-interface $LOCAL -j ACCEPT

   # Allow outgoing connections
   iptables -A OUTPUT -j ACCEPT

Ich denke, die anderen Antworten haben einige wichtige Punkte übersehen. Unter der Annahme, dass sich iptables in einem neuen Zustand befindet, wird eth0 erneut als interne Schnittstelle und eth1 als externe Schnittstelle verwendet:

1. Aktivieren Sie die IP-Weiterleitung im Kernel:

   echo 1 > /proc/sys/net/ipv4/ip_forward
   

2. Aktivieren Sie die Maskerade auf eth1, um die Quelladresse für ausgehende Pakete neu zu schreiben. Wenn Sie wirklich symmetrisches NAT wollen, benötigen Sie --randomam Ende Folgendes :

   iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE --random
   

3. Weiterleitungsregeln konfigurieren. Standardmäßig leitet iptables den gesamten Datenverkehr bedingungslos weiter. Sie möchten wahrscheinlich den eingehenden Datenverkehr aus dem Internet einschränken, aber alle ausgehenden Daten zulassen:

   # Allow traffic from internal to external
   iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
   # Allow returning traffic from external to internal
   iptables -A FORWARD -i eth1 -o eth0 -m conntrack --ctstate RELATED, ESTABLISHED -j ACCEPT
   # Drop all other traffic that shouldn't be forwarded
   iptables -A FORWARD -j DROP
   

Beachten Sie, dass wir die INPUT- oder OUTPUT-Ketten in der Filtertabelle nicht berührt haben. Diese haben nichts damit zu tun, ein Router zu sein.

Keine dieser Änderungen wird beim Neustart beibehalten.