☰

Проблема с TFTP и IPTables и (s)-NAT

tag-icon • tag-icon iptables nat tftp
Проблема с TFTP и IPTables и (s)-NAT

У меня возникли некоторые проблемы с загрузкой TFTP за NAT с использованием IPtables, и мне действительно нужна ваша помощь. Я знаком с принципами работы в сети, но совсем новичок в IPtables, поэтому извините, если я делаю что-то совсем неправильно.

У меня есть сервер под управлением Ubuntu 20.04 с двумя сетевыми картами, который пытается подключиться к TFTP-серверу. Хотя все остальное работает отлично, я получаю таймаут при попытке TFTP. У меня есть подозрение, основанное на tcpdump, где я вижу некоторый трафик icmp, который (возможно) не транслируется правильно, но я не уверен..

Информация о топологии

TFTP server: 130.221.69.14:udp\69
MyServer (TFTP-CLIENT) :
eth0 = uplink / 172.25.17.6
eth1 = downlink / 10.14.254.0/24 (Which NAT's to eth0 with config below)


IFACE_WAN=eth0
IFACE_LAN=eth1
NETWORK_LAN=10.14.254.0/24

... конфигурация iptables

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -o $IFACE_WAN -s $NETWORK_LAN ! -d $NETWORK_LAN -j MASQUERADE
iptables -A FORWARD -d $NETWORK_LAN -i $IFACE_WAN -o $IFACE_LAN -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s $NETWORK_LAN -i $IFACE_LAN -j ACCEPT

При выполнении tcpdump на eth1/$NETWORK_LAN (ДО NAT) я вижу:

Я не вижу здесь трафика ICMP.

root@swmgmt:~# tcpdump -i eth1 -n  dst 130.221.69.14
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
20:38:34.901901 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:38:38.897841 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-    name/switch1" octet
20:38:43.899754 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:38:49.903083 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:38:56.907874 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:39:04.908915 IP 10.14.254.164.59384 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:39:12.909728 IP 10.14.254.164.59384 > 130.221.69.14.69:  23 ERROR EUNDEF "Session terminated"

При выполнении tcpdump на eth0/$NETWORK_WAN (ПОСЛЕ NAT) я вижу:

Я вижу здесь icmp-трафик?

20:21:31.898048 IP 172.25.17.6.59650 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:21:31.899090 IP 172.25.17.6 > 130.221.69.14: ICMP 172.25.17.6 udp port 59650 unreachable, length 55
20:21:39.024682 IP 172.25.17.6.59650 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:21:39.025524 IP 172.25.17.6 > 130.221.69.14: ICMP 172.25.17.6 udp port 59650 unreachable, length 55
20:21:47.029243 IP 172.25.17.6.59650 > 130.221.69.14.69:  38 RRQ "switch-config/by-name/switch1" octet
20:21:47.030220 IP 172.25.17.6 > 130.221.69.14: ICMP 172.25.17.6 udp port 59650 unreachable, length 55
20:21:55.030448 IP 172.25.17.6.59650 > 130.221.69.14.69:  23 ERROR EUNDEF "Session terminated"

Любая помощь будет высоко оценена!

С уважением, Тор.

решение1

Вероятно, вам придется загрузить tftp NAT helper, поскольку tftp — один из тех протоколов, которые плохо работают с NAT.

Пытаться modprobe nf_nat_tftp.

Примечание: Приведенная выше информация получена из системы, использующей nftables, а не iptables. Ваши данные могут отличаться. В любом случае попробуйте найти ее в /lib/modules/<kernel-version>/kernel/net/каталоге, скорее всего, в подкаталоге netfilterна верхнем уровне или в каталогах ipv4 или ipv6.

Связанный контент