static stateless 2-way NAT on Linux with iptables的应用实例

前面几天,我完成了一个static stateless 2-way NAT,写了几篇文章,但是着重于理论分析,本文来展示一个应用实例。在具体展示实例之前,先说一个static stateless 2-way NAT和Linux原生conntrack NAT的区别,static stateless 2-way NAT并不会限制连接的数量,因为它不用维护连接状态,也就没有了最大值的限制,其次,如果static stateless 2-way NAT的算法更好些,它的效率会更高。在哈尔滨长春旅游的那些天,我曾经想过,能不能用这种stateless的方式实现一个NAPT呢?后来觉得很难,因为在TCP/IP协议层面,一个特定的连接中的5元组是不能发生变化的(UDP协议视情况而定),这就要求NAPT在完成5元组唯一性映射的时候需要识别出一个连接,这就不再是stateless了,而是stateful了,一个例子就可以说明这种情况,假设连接A的数据包a的5元组被映射到了{sip-1,dip-1,tcp,sport-1,dport-1},此后这个连接断开了,问题是如果过去很久以后又有相同5元组的TCP连接来到怎么办呢?解决这个问题的办法就是为一个entry维护一个timer,这样...这样还不如直接用conntrack NAT呢....
       首先给出一个简单的拓扑图:
<client>eth0:192.168.10.1
|
|
eth0:192.168.10.254
<FWD>[NAT BOX]
eth1:192.168.184.254
|
|
eth0:192.168.184.1
<FWD>                           
eth1:192.168.1.1
|
|
<server>eth0:192.168.1.8
在上面简单的拓扑中,我希望的是在client可以拉取1.2.1.2上的网页,而1.2.1.2是映射到server上的,此外,端口由12345映射到80。这个映射是完全无状态的,用我的static stateless 2-way NAT来完成。
       在我还没有做好iptables接口之前,我使用procfs文件系统接口,那个时候还没有dev支持,命令如下:
echo ‘+1.2.1.2 192.168.1.8 dst tcp port-map 12345 80 ‘ >/proc/net/static_nat
echo ‘+192.168.184.250 192.168.184.154 src tcp‘ >/proc/net/static_nat
后来有了更为方便的iptables接口,事情起了变化,我可以用熟悉的iptables命令来配置了,依然在nat表配置规则:
root@abcd:~# iptables-save
# Generated by iptables-save v1.4.21 on Sun Dec 28 03:23:22 2014
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [1484:204554]
-A PREROUTING -j STATIC-2-WAY-NAT --mapaddr 192.168.184.250-192.168.184.154 --type src --proto all --mapport 0-0 --dev eth1
-A POSTROUTING -j STATIC-2-WAY-NAT --mapaddr 1.2.1.2-192.168.1.8 --type dst --proto tcp --mapport 12345-80 --dev eth0
COMMIT
# Completed on Sun Dec 28 03:23:22 2014
root@abcd:~#
除了可以完成配置之外,我保留了一个统计信息,可以看出有多少个数据包以及多少个字节经历了NAT。统计信息的查看方式如下:
root@abcd:~# cat /proc/net/static_nat Source trans table:
From:192.168.184.250 To:192.168.184.154    [ALL STATIC] [eth1] [Bytes:1080  Packet:23]
From:192.168.1.8     To:1.2.1.2            [TCP AUTO] Port map[From:80    To:12345] [eth0] [Bytes:124  Packet:3]

Destination trans table:
From:1.2.1.2         To:192.168.1.8        [TCP STATIC] Port map[From:12345 To:80   ] [eth0] [Bytes:180  Packet:4]
From:192.168.184.154 To:192.168.184.250    [ALL AUTO] [eth1] [Bytes:5348  Packet:90]
root@abcd:~#
展示统计信息的粒度是很重要的,当然,如果能表示都有哪些数据包经历了NAT并可以打印数据包的超级详细信息,那是再好不过的了,但是那样会损失大量的时间和空间,所以只能求取舍了。

郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。