☰

OUTPUTチェーンでDNATを使用してローカルで開始されたトラフィックをリダイレクトすると、期待どおりに機能しません。

tag-icon • tag-icon linux routing container network-namespaces netfilter
OUTPUTチェーンでDNATを使用してローカルで開始されたトラフィックをリダイレクトすると、期待どおりに機能しません。

私はちょっと愚かですが、あなたの愛らしい人たちが私の脳に活気を与えてくれることを願っています。

ローカルネットワークネームスペースでサービスを実行しています。名前空間は次のとおりです。

# ip -n ns1 addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: ns1-int@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 6e:35:ab:46:78:71 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 192.168.255.11/24 scope global ns1-int
       valid_lft forever preferred_lft forever
    inet6 fe80::6c35:abff:fe46:7871/64 scope link
       valid_lft forever preferred_lft forever

名前空間ルーティングテーブルは次のとおりです。

$ ip -n ns1 route
default via 192.168.255.1 dev ns1-int
192.168.255.0/24 dev ns1-int proto kernel scope link src 192.168.255.11

インターフェイスはホストに接続されているns1-intペアの一端です。 192.168.255.1は次の住所です。vethbr0br0

# ip addr show br0
4: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether ce:10:da:46:71:fb brd ff:ff:ff:ff:ff:ff
    inet 192.168.255.1/24 scope global br0
       valid_lft forever preferred_lft forever
    inet6 fe80::cc10:daff:fe46:71fb/64 scope link
       valid_lft forever preferred_lft forever
# ip addr show master br0
5: ns1-ext@if2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br0 state UP group default qlen 1000
    link/ether d6:69:bd:06:9c:fa brd ff:ff:ff:ff:ff:ff link-netns ns1
    inet6 fe80::d469:bdff:fe06:9cfa/64 scope link
       valid_lft forever preferred_lft forever

私シンプルなWebサービスポート80では、名前空間アドレスを使用してホストからアクセスできます。

# curl 192.168.255.11
Hostname: node1
IP: 127.0.0.1
IP: ::1
IP: 192.168.255.11
IP: fe80::6c35:abff:fe46:7871
RemoteAddr: 192.168.255.1:58396
GET / HTTP/1.1
Host: 192.168.255.11
User-Agent: curl/8.0.1
Accept: */*

このサービスをホストポート8080に公開したいと思います。どちらもリモートでトラフィックを開始するために使用されます。そしてローカルで開始されたトラフィックの場合。

リモートトラフィックは問題ではありません。

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.255.11:80

これは素晴らしい動作します。これで、ネットワーク上の他のホストからポート8080の同じWebエンドポイントにアクセスできるようになりました。

anotherhost$ curl 192.168.121.67:8080
Hostname: node1
IP: 127.0.0.1
IP: ::1
IP: 192.168.255.11
IP: fe80::6c35:abff:fe46:7871
RemoteAddr: 192.168.121.1:47888
GET / HTTP/1.1
Host: 192.168.121.67:8080
User-Agent: curl/8.0.1
Accept: */*

たとえば、ポート8080を使用してローカルにサービスにアクセスできるようにしたいとしますcurl localhost:8080。理論的には、ローカルで生成されたトラフィックをリダイレクトするには、OUTPUTチェーンに1つのルールしか必要ありません。

iptables -t nat -A OUTPUT -p tcp --dport 8080 -j DNAT --to-destination 192.168.255.11:80

このときのネットワークファイルの全体構成は次のとおりです。

# iptables-save
# Generated by iptables-save v1.8.9 on Sun Jun 11 00:47:49 2023
*filter
:INPUT ACCEPT [751:53502]
:FORWARD ACCEPT [10:937]
:OUTPUT ACCEPT [433:43385]
COMMIT
# Completed on Sun Jun 11 00:47:49 2023
# Generated by iptables-save v1.8.9 on Sun Jun 11 00:47:49 2023
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [21:1580]
:POSTROUTING ACCEPT [22:1640]
-A PREROUTING -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.255.11:80
-A OUTPUT -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.255.11:80
COMMIT
# Completed on Sun Jun 11 00:47:49 2023

次の項目にアクセスしようとするとlocalhost:8080中断されます。

$ curl --connect-timeout 60 localhost:8080
curl: (28) Failed to connect to localhost port 8080 after 60001 ms: Timeout was reached

ルールはOUTPUT間違いなく一致します。コマンドを実行すると、curlヒット数が増加することがわかります。何か単純なものが抜けたような感じがします。何ができたのか？

答え1

DNATチェーンの規則がOUTPUT正しく機能するには、2つのことを行う必要があります。

  1. 適切なsysctlを設定する必要がありますroute_localnet。

    sysctl -w net.ipv4.conf.br0.route_localnet

    この変更により、名前空間内に次のトラフィックが表示されます。

    03:23:02.984603 ns1-int In  IP 127.0.0.1.39656 > 192.168.255.11.80: Flags [S], seq 409674911, win 65495, options [mss 65495,sackOK,TS val 2257175047 ecr 0,nop,wscale 7], length 0

    これはソースアドレス（127.0.0.1）が役に立たないため問題になります。

  2. MASQUERADE交通ルールを作成する必要があります~から localhost 到着名前空間:

    iptables -t nat -A POSTROUTING -s 127.0.0.1/32 -d 192.168.255.0/24 -j MASQUERADE

これら2つのルールを使用すると、すべてが期待どおりに機能します。

# curl localhost:8080
Hostname: node1
IP: 127.0.0.1
IP: ::1
IP: 192.168.255.11
IP: fe80::8054:55ff:fef7:3e76
RemoteAddr: 192.168.255.1:36676
GET / HTTP/1.1
Host: localhost:8080
User-Agent: curl/8.0.1
Accept: */*

名前空間内で着信パケットが次のように見えるようになりました。

03:26:38.660882 ns1-int In  IP 192.168.255.1.38500 > 192.168.255.11.80: Flags [S], seq 1141073629, win 65495, options [mss 65495,sackOK,TS val 2257390724 ecr 0,nop,wscale 7], length 0

関連情報