Переадресация портов с двумя маршрутизаторами

Question 1

Ваша текущая настройка не будет работать так, как задумано. Вам нужен виртуальный IP, который будет плавать над Router-Aи Router-B. Это также позволит сбалансировать нагрузку между двумя маршрутизаторами с простотой. В этом примере я буду использовать отраслевой стандартВРРПна маршрутизаторе Linux (Ubuntu-16).

Вот процедура:

В Linux Router-Aи Router-Bвыполните следующие команды:

$ sudo echo "net.ipv4.ip_nonlocal_bind=1" >> /etc/sysctl.conf
$ sudo sysctl -p

Установить keepalived на обоих маршрутизаторах

$ sudo apt-get update
$ sudo apt-get install keepalived -y

Затем перейдите к Router-Aтому, что будет действовать как MASTER. Создайте новый файл конфигурации /etc/keepalived/keepalived.confсо следующими записями:

vrrp_instance VI_1 {
    interface eth1
    state MASTER
    virtual_router_id 50
    priority 101

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

Затем перейдите к Router-Bтому, что будет действовать как BACKUP, и сделайте то же самое с новым файлом конфигурации /etc/keepalived/keepalived.conf:

vrrp_instance VI_1 {
    interface eth1
    state BACKUP
    virtual_router_id 50
    priority 100

    authentication {
        auth_type AH
        auth_pass pass123
    }

    virtual_ipaddress {
        192.168.1.99
    }
}

Объяснение:

net.ipv4.ip_nonlocal_bind=1сообщает ядру, что виртуальный IP-адрес НЕ должен быть привязан к какому-либо физическому интерфейсу.

vrrp_instance VI_1должны совпадать на обоих маршрутизаторах. Это идентификатор, поскольку на одном маршрутизаторе может работать несколько VRRP.

interface eth1— это интерфейс, обращенный к локальной сети (к внутренним серверам).

state MASTERRouter-Aи так state BACKUPдалее , Router-Bэто говорит само за себя.

virtual_router_id 50должны совпадать на обоих маршрутизаторах. Это идентификатор.

priority 101Router-Aи так priority 100далее Router-B(в этом случае маршрутизатор A имеет более высокий приоритет).

authenticationдолжны совпадать на обоих маршрутизаторах. В этом случае я использовал общий ключpassw123

virtual_ipaddressплавающий IP-адрес, который будет использовать VRRP. Этот IP-адрес должен совпадать на обоих маршрутизаторах. Этот IP-адрес не должен использоваться ни одним устройством в сегменте LAN. В этом случае я выбрал192.168.1.99

Включить службу keepalived

$ sudo systemctl enable keepalived

Запустить службу поддержки активности

$ sudo systemctl start keepalived

Пришло время изменить правила iptables на обоих маршрутизаторах.

Очистите все правила NAT с обоих маршрутизаторов (избавьтесь от неисправных правил NAT)

$ sudo iptables -t nat -F
$ sudo iptables -t mangle -F

Затем добавьте правильные правила NAT:

Маршрутизатор-А

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 25 -j DNAT --to 192.168.1.234

Маршрутизатор-B

$ sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j SNAT --to 192.168.1.99
$ sudo iptables -t nat -A PREROUTING -d ${externalIP} -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.123

Это все, что вам нужно со стороны маршрутизатора. Теперь перейдите на серверы (Server-A и Server-B), удалите существующий шлюз по умолчанию ( 192.168.1.1) и назначьте новый шлюз ( 192.168.1.99)

$ sudo ip route del 0/0
$ sudo route add default gw 192.168.1.99

При установлении соединений из Интернета два сервера (Сервер-A и Сервер-B) будут возвращать трафик на виртуальный IP-адрес ( 192.168.1.99), который находится выше Router-AиRouter-B

Ссылка:https://www.keepalived.org/manpage.html

Answer