iptables --appende o FORWARD necessário para o roteamento entre IPs alias da NIC?

Question

Eu tenho uma caixa Ubuntu com um único NIC. A fim de ligar um número de serviços (como o apache, dnsmasq, etc), liguei-os a alias diferentes (por exemplo, eth0: 0, etc), alguns dos quais estão em intervalos IP completamente diferentes. Como todos os meus computadores clientes estão usando minha caixa do Ubuntu como seu gateway padrão, eu queria saber se essa regra do iptables era necessária:

iptables --append FORWARD --in-interface eth0: 0 -j ACCEPT (isso está enfrentando os clientes em 10.2.0.0/24, enquanto esta caixa se comunica com meu roteador DSL em 192.168.1.1 / 24). Eu já habilitei o encaminhamento de IP, etc.

Basicamente, eu quero saber se o encaminhamento é necessário entre aliases que estão em diferentes faixas de IP (presumo que seja necessário entre vários NICs separados, mas tenha em mente que eu só tenho um.

Eu adicionei esta regra do iptables para minha interface de saída:

iptables --table nat --apecute POSTROUTING --out-interface eth0 -j MASQUERADE

Obrigado

Jared

    

Answer 1

Não, estritamente falando, você não precisa disso. Você já deixou claro, presumivelmente permitindo o encaminhamento IPv4 no sysctl, e pela regra MASQUERADE, o que você quer fazer com os pacotes originados da sub-rede 10.2.0.0/24.

Você precisaria da regra se aplicasse uma política muito rigorosa, como tudo o que não é explicitamente permitido é proibido , ou, em outras palavras, se você usasse como seu último regra iptables,

  iptables -t filter -j DROP

Se você não usar isso, ou se não usar o DROP de política, não será necessário permitir explicitamente o encaminhamento por meio dessa regra, pois seu kernel já foi instruído sobre como proceder. Mas se você está sendo rigoroso, e seus pacotes correm o risco de atacar a regra, então é melhor usá-lo.

BTW, não use aliases de ip, eles estão seriamente depreciados. Se você já tem o eth0 instalado e funcionando, o seguinte comando

  ip addr add 10.2.0.1/24 dev eth0

adicionará o novo endereço, em uma sub-rede diferente, à mesma NIC. Você pode ver isso com

  ip addr show

mas não com o ifconfig, outra ferramenta obsoleta que você deve eliminar.