iptables を使用した 1:1 NAT の作成

Question 1

まず、ソース NAT は次のようになります。

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j NETMAP --to 192.168.1.0/24

（マッチPOSTROUTING付き-s）

宛先 NAT は次のようになります。

iptables -t nat -A PREROUTING -d 192.168.1.0/24 -j NETMAP --to 192.168.10.0/24

（マッチPREROUTING付き-d）

注: 私の知る限り、宛先 NAT ルールは、「新しい」トラフィック (LAN 内から) にのみ必要です。戻りトラフィックには、送信元 NAT ルールで十分です。宛先 NAT は、送信元 NAT ルールによって「暗黙的に」指定されるためです。

しかし、ここで問題があります。とは、(実際には)のトラフィックがさらにルーティングされるためにに送信されることをどのようにしMy Computerて知るのでしょうか?Primitive Router192.168.1.0/24192.168.10.0/24Raspberry Pi 4

答えは、Raspberry Pi 4の ARP 要求に応答する必要があるということです192.168.1.0/24。

これを実現する方法の 1 つは、「AnyIP」と呼ばれるもの (少なくとも私が聞いた用語) を設定することです。基本的には、次のタイプのサブネットルートを追加することを意味しlocalます192.168.1.0/24。

ip r add local 192.168.1.0/24 dev eth0

arp_ignore注: sysctl を eg に設定した場合にこれが機能するかどうかは正確には覚えていません1。

Raspberry Pi 4sysctl を使用して IP(v4) 転送が有効になっていること、およびファイアウォールが (ルールまたはチェーンポリシーに従って) 必要なトラフィックの転送をブロックしていないことを確認します。

Answer

まず、ソース NAT は次のようになります。

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j NETMAP --to 192.168.1.0/24

（マッチPOSTROUTING付き-s）

宛先 NAT は次のようになります。

iptables -t nat -A PREROUTING -d 192.168.1.0/24 -j NETMAP --to 192.168.10.0/24

（マッチPREROUTING付き-d）

注: 私の知る限り、宛先 NAT ルールは、「新しい」トラフィック (LAN 内から) にのみ必要です。戻りトラフィックには、送信元 NAT ルールで十分です。宛先 NAT は、送信元 NAT ルールによって「暗黙的に」指定されるためです。

しかし、ここで問題があります。とは、(実際には)のトラフィックがさらにルーティングされるためにに送信されることをどのようにしMy Computerて知るのでしょうか?Primitive Router192.168.1.0/24192.168.10.0/24Raspberry Pi 4

答えは、Raspberry Pi 4の ARP 要求に応答する必要があるということです192.168.1.0/24。

これを実現する方法の 1 つは、「AnyIP」と呼ばれるもの (少なくとも私が聞いた用語) を設定することです。基本的には、次のタイプのサブネットルートを追加することを意味しlocalます192.168.1.0/24。

ip r add local 192.168.1.0/24 dev eth0

arp_ignore注: sysctl を eg に設定した場合にこれが機能するかどうかは正確には覚えていません1。

Raspberry Pi 4sysctl を使用して IP(v4) 転送が有効になっていること、およびファイアウォールが (ルールまたはチェーンポリシーに従って) 必要なトラフィックの転送をブロックしていないことを確認します。

Question 2

私は Linux での NAT 変換について少し学ぼうとしていますが、できるだけ基本的なものにまで要約された概念実証を見たことがありません。

これは、LAN 経由で別のデバイスを接続するときにデスクトップ PC で「インターネットを共有」するために使用する、可能な限り基本的なスクリプトです。

#!/bin/bash

# masquerade $1 (e.g. eth0, ppp0) as $2 (default wlan0)

INTIF="$1"
EXTIF=${2:-wlan0}

echo $INTIF $EXTIF

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -P INPUT ACCEPT
iptables -F INPUT
iptables -P OUTPUT ACCEPT
iptables -F OUTPUT 
iptables -P FORWARD DROP
iptables -F FORWARD 
iptables -t nat -F
iptables -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
iptables -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

「内部」インターフェース (NAT を必要とするクライアントのネットワーク) と「外部」インターフェース (インターネットに向かう) を使用して呼び出す必要があります。内部インターフェースや DHCP などのセットアップは含まれていません (NAT についてのみ質問していました)。

それで、Raspberry 4 に 1:1 NAT を実装するというアイデアが浮かびました。これにより、192.168.10.x/24 の範囲のすべての IP アドレスが 192.168.1.x/24 の範囲に変換されます。

それは「基本的な NAT」よりもはるかに困難です。

しかし、そうする必要はありません。実際、原始的なルーターと Raspberry Pi 4 の組み合わせではうまく機能しません。代わりに、Raspberry Pi 4 で基本的な NAT を実行してください。これにより、192.168.10.*/24 上のすべてが 192.168.0.0 に NAT され、ルーターはそれを問題なく理解します。

(そして実際には、2 つのスイッチを接続し、ルーターから 1 つのサブネットが提供されるだけです。ちなみに、原始的なルーターを OpenWRT などで再フラッシュできる場合は、ルーティングも実行できます)。

Answer