VirtualBoxで完全にオープンなFreeBSDルーター

Question 1

さて、解決策を見つけました。

私の/etc/rc.confは大丈夫です...

/etc/pf.conf は次のようになります。

# cat /etc/pf.conf

ext_if="em0"
int_if="em1"
boxnet = $int_if:network
homenet = $ext_if:network

nat on $ext_if from $boxnet to any -> ($ext_if)
pass quick from { lo0, $boxnet, $homenet } to any keep state

変数が多すぎるため、元のem0 / em1のみを使用できます。とにかく、これはあなたに -

[root@bsdtest ~]# pfctl -vnf /etc/pf.conf
ext_if = "em0"
int_if = "em1"
icmp_types = "echoreq"
boxnet = "em1:network"
homenet = "em0:network"
nat on em0:network inet from 10.9.9.0/24 to any -> 192.168.1.0/24
nat on em1:network inet from 192.168.1.0/24 to any -> 10.9.9.0/24
pass quick inet from 127.0.0.0/8 to any flags S/SA keep state
pass quick inet from 192.168.1.0/24 to any flags S/SA keep state

Answer

さて、解決策を見つけました。

私の/etc/rc.confは大丈夫です...

/etc/pf.conf は次のようになります。

# cat /etc/pf.conf

ext_if="em0"
int_if="em1"
boxnet = $int_if:network
homenet = $ext_if:network

nat on $ext_if from $boxnet to any -> ($ext_if)
pass quick from { lo0, $boxnet, $homenet } to any keep state

変数が多すぎるため、元のem0 / em1のみを使用できます。とにかく、これはあなたに -

[root@bsdtest ~]# pfctl -vnf /etc/pf.conf
ext_if = "em0"
int_if = "em1"
icmp_types = "echoreq"
boxnet = "em1:network"
homenet = "em0:network"
nat on em0:network inet from 10.9.9.0/24 to any -> 192.168.1.0/24
nat on em1:network inet from 192.168.1.0/24 to any -> 10.9.9.0/24
pass quick inet from 127.0.0.0/8 to any flags S/SA keep state
pass quick inet from 192.168.1.0/24 to any flags S/SA keep state

Question 2

以下はいくつかの推測なので注意が必要です。ただし、これは最初にルーティング、パケットフィルタリング（ファイアウォール）、およびネットワークアドレス変換（NAT）を混同する多くの人々を混乱させる非常に一般的な設定です。

明示的に指定されていませんが、ネットワークは次のようになります。

Internet <-A-> SOHO Router <-B-> Server/workstation <-C-> VM

あなたのDNSサーバーはネットワークB（192.168.1.0/24）にあります。

私の考えでは、インターネットSOHOルーターが192.168.1.1で、ネットワークのデフォルトゲートウェイに設定されているようです。これは非常に一般的な設定です。

DNS サーバーは 192.168.1.2 にあり、サーバーブリッジインターフェイスは 192.168.1.10 と指定されています。その後、ネットワーク10.9.9.0/24があります。

あなたのiptables設定が渡されますみんなパケット相互作用。実際には、あるネットワークから別のネットワークにすべてのパケット（ローカルパケットを含む）を送信します。これは重要な違いです。

あなたのpf構成では、いいえ今後みんなパケット相互作用。あなたはネットワーク em1:network。完全な構成はありませんが、実際には素晴らしく機能するベアボーン構成があると推測されます。あなたをいじめるのは行方不明の道です。

10.9.9.0/24 でパケットを送信すると、192.168.1.0/24 ネットワークに到達します。あなたのサーバーはすでにそのネットワーク上にあるので、DNSに直接移動します。ただし、BネットワークのDNSサーバーは、ローカルではなくC 10.9.9.0/24ネットワークに接続する方法がわかりません。その後、すべての応答がSOHOルーターである「デフォルトルーター」に送信されます。また、ルータは192.168.1.0/24ネットワーク（10.9.9.0/24ではない）を見つけることができる場所だけを知っており、通常はすべてを外部インターネットリンクにルーティングします。この場合、正しいプライベートアドレスを使用しているため、プライベートアドレスがインターネットからルーティングされないため、パケットは破棄されます。

「正しい」解決策は、SOHOルータにルートを設定し、10.9.9.0/24から192.168.1.10にパケットをルーティングするように指示することです。まともなルーターを使用すると、これを行うことができます。残念ながら、多くの手頃な価格のSOHOルータにはこの機能はありません。この場合、DNSサーバーにパスを追加してテストできます。

iptablesで動作する理由は、応答パケットがeth0インターフェイスに表示され、すべてのパケットが転送されるためです。 Bネットワーク内のすべてのトラフィックはCネットワークに送信されます（またはその逆）。これには、オンプレミスに滞在できるか維持する必要があるトラフィックも含まれます。実際にブリッジを設定しました。
最初のpf設定で機能しないのは、表示するネットワークをすでに指定しているためです。ネットワークBには、ネットワークCが見つかる場所を知る1つのマシンしかありません。 C ネットワークにインターフェイスがあるため、192.168.1.10 です。実際、デフォルトのファイアウォールはすでに設定されています。フィルタリングが準備されていますが、まだ何もフィルタリングしていません。しかし、ルーティングがありません。
2番目のpf設定（自分の答え）で動作する理由は、10.9.9.0/24ネットワークを192.168.1.0/24のアドレス空間にNATするためです。ネットワークC 10.9.9.0/24のすべてのトラフィックは、ネットワークBに192.168.1.10から来るように見えます。NATは避けるべきです。可能な限り、最後の手段としてのみ使用してください。

パケットをフィルタリングする必要がない場合、またはフィルタリングしたくない場合は、ファイアウォールを使用しないことをお勧めします。やりたいことは最後までしなければならないシンプルなルーティング。

Answer