Reenvío de puertos con dos enrutadores

Question 1

Su configuración actual no funcionará según lo previsto. Necesita tener una IP virtual que flote sobre Router-Ay Router-B. Esto también equilibrará la carga entre los dos enrutadores con simplicidad. En este ejemplo, usaré el estándar de la industria.VRRPen un enrutador Linux (Ubuntu-16).

Aquí está el procedimiento:

Tanto en Linux Router-Acomo en Router-BLinux, ejecute los siguientes comandos:

$ sudo echo "net.ipv4.ip_nonlocal_bind=1" >> /etc/sysctl.conf
$ sudo sysctl -p

Instale keepalived en ambos enrutadores

$ sudo apt-get update
$ sudo apt-get install keepalived -y

Luego ve a Router-Aeso actuará como MASTER. Cree un nuevo archivo de configuración /etc/keepalived/keepalived.confcon las siguientes entradas:

vrrp_instance VI_1 {
    interface eth1
    state MASTER
    virtual_router_id 50
    priority 101

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

Luego vaya a Router-Bque actuará como BACKUPy haga lo mismo con el nuevo archivo de configuración /etc/keepalived/keepalived.conf:

vrrp_instance VI_1 {
    interface eth1
    state BACKUP
    virtual_router_id 50
    priority 100

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

Explicación:

net.ipv4.ip_nonlocal_bind=1le dice al kernel que la IP virtual NO debe estar vinculada a ninguna interfaz física.

vrrp_instance VI_1debe coincidir en ambos enrutadores. Este es un identificador, ya que puede tener varios VRRP ejecutándose en el mismo enrutador.

interface eth1es la interfaz que está orientada a la LAN (frente a los servidores internos).

state MASTERuna Router-Ay state BACKUPotra vez Router-Bse explica por sí misma.

virtual_router_id 50debe coincidir en ambos enrutadores. Este es un identificador.

priority 101una Router-Ay priority 100otra vez Router-B(el enrutador A tiene una prioridad más alta en este caso).

authenticationdebe coincidir en ambos enrutadores. En este caso utilicé una clave precompartida depassw123

virtual_ipaddresses la dirección IP flotante que utilizará VRRP. Esta IP debe coincidir en ambos enrutadores. Esta IP no debe ser utilizada por ningún dispositivo en el segmento LAN. En este caso elegí192.168.1.99

Habilitar el servicio Keepalived

$ sudo systemctl enable keepalived

Iniciar servicio keepalived

$ sudo systemctl start keepalived

Es hora de manipular las reglas de iptables en ambos enrutadores.

Borre todas las reglas NAT de ambos enrutadores (deshágase de las reglas NAT infringidas)

$ sudo iptables -t nat -F
$ sudo iptables -t mangle -F

Luego agregue las reglas NAT correctas:

Enrutador-A

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 25 -j DNAT --to 192.168.1.234

Enrutador-B

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.123

Eso es todo lo que necesitas desde el lado del enrutador. Ahora salte a los servidores (Servidor-A y Servidor-B), elimine la puerta de enlace predeterminada existente ( 192.168.1.1) y asigne la nueva puerta de enlace ( 192.168.1.99).

$ sudo ip route del 0/0
$ sudo route add default gw 192.168.1.99

Cuando se establecen conexiones desde Internet, los dos servidores (Servidor-A y Servidor-B) devolverán el tráfico a la IP virtual ( 192.168.1.99) que está flotando arriba Router-AyRouter-B

Referencia:https://www.keepalived.org/manpage.html

Answer