Totalmente conexões de entrada NAT, mantendo o trabalho mascarado

Question

Como você faria o seguinte:

Nota: o acesso à Internet deve funcionar sempre usando a ação clássica MASQUERADE na cadeia POSTROUTING da tabela nat.

Agora, o desafio:

• para todas as conexões que acessam o roteador (meio) a partir do exterior (direita) em uma determinada porta (1)
• envia essas solicitações para o host interno (à esquerda) enquanto faz com que pareça que a solicitação veio do roteador (meio) (2)
• para a resposta (3 e 4) inverta esse processo.

Eu não sei como você chamaria esse método específico para o NAT, e não sei se é possível (ou com o netfilter).

(Não pergunte por quê. Mas se você fizer isso: tem a ver com a tabela de roteamento no host 192.168.1.2, que não tem a rota padrão na interface que estou mostrando aqui, mas eu Gostaria de tê-lo disponível em qualquer lugar, e acredito que esta é a única maneira de fazê-lo, mapeando o acesso à Internet a uma conexão / rede que está diretamente conectada, portanto, sobrescrevendo a tabela de roteamento. Eu espero.)

E lembre-se: o acesso à Internet deve continuar funcionando usando o mascaramento clássico.

    

Answer 1

Portanto, você não tem nenhum gateway padrão em 192.168.1.2 e presumivelmente não pode especificar um. Portanto, o tráfego de saída daqui para hosts aleatórios na Internet não saberá para onde ir.

Acho que o caminho a percorrer em iptables é configurar um segundo NAT entre 192.168.1.2 e 192.168.1.44.

Provavelmente será mais fácil e menos problemático fazer algo como um proxy ou túnel VPN, se possível.

Indo a rota da VPN - Em 192.168.1.44, execute um servidor OpenVPN, criando uma interface virtual "tun0". Configure um cliente que se conecte a ele em 192.168.1.2 - isso também irá configurar um "tun0" virtual ao seu lado.

Você então colocará essas interfaces virtuais em sua própria rede (como 192.168.99.0/24). "tun0" no lado do servidor será o padrão 192.168.99.1, e o outro lado provavelmente será o padrão 192.168.99.6 - mas você pode usar uma "diretiva de configuração do cliente" para atribuir um IP fixo. Diga a qualquer serviço que precise estar visível na Internet para ouvir em 192.168.99.6. Um alvo REDIRECT simples na tabela PREROUTING deve fazer um redirecionamento de porta específico para 192.168.99.6.

Para solucionar problemas de desempenho, se você não estiver preocupado com a segurança em sua LAN, não será necessário habilitar a criptografia - e poderá definir a autenticação como uma senha que você inclui em um script de inicialização (embora você precisa de um certificado de servidor no mínimo) e só tem que ser um túnel reto.

Você também pode obter um proxy "interno somente" do lado da LAN para funcionar nesta situação, se seu serviço puder ser colocado atrás de um.