Proxmox 連接埠轉送到 NAT 後面的容器

Question

我們想出了一些辦法，我會將其發佈在這裡，以防它對任何人有用。（免責聲明：我們經過數小時的反覆試驗才將其組合在一起，這可能只適用於我們的託管提供者。無論如何，我都不是 Linux 網路專家。）

/etc/network/interfaces：

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback
iface lo inet6 loopback

auto eno1
iface eno1 inet static
    address <hostpublicip>/26
    gateway <hostgateway>
    up route add -net <hostgateway-1> netmask 255.255.255.192 gw <hostgateway> dev eno1
    post-up echo 1 > /proc/sys/net/ipv4/ip_forward # add this line

auto vmbr0
iface vmbr0 inet static
    address 10.0.0.1/24
    bridge-ports none
    bridge-stp off
    bridge-fd 0

    post-up iptables -t nat -A POSTROUTING -s '10.0.0.0/24' -o eno1 -j MASQUERADE
    post-down iptables -t nat -D POSTROUTING -s '10.0.0.0/24' -o eno1 -j MASQUERADE
    post-down iptables -t nat -F
    post-up   iptables -t raw -I PREROUTING -i fwbr+ -j CT --zone 1
    post-down iptables -t raw -D PREROUTING -i fwbr+ -j CT --zone 1

eno1 介面已由我們的託管提供者的安裝腳本設定（赫茨納），我們新增了該post-up行以在啟動時啟用 IP 轉送。
我們在proxmox中建立了vmbr0介面並設定了子網路位址，您可以選擇您喜歡的任何位址範圍。我們選擇了 10.0.0.0/24。然後您需要根據我們上面的範例更改文件條目。這些線路是必需的（當然 IP 除外）。如果有任何 ipv6 接口，請保留它們。

現在，當您建立容器/虛擬機器時，您需要將 IPv4 位址設定為靜態並選擇適合您的子範圍 ( 10.0.0.xxx/24) 的位址，並將網關設定為10.0.0.1。

所有連接埠轉送都在文件中定義/etc/network/interfaces.d/port_forwards（需要由使用者創建，該路徑中的所有文件都使用該行加載到上面的主文件中source）。連接埠轉送中的 IP 位址是您在建立容器時指派給容器的 IP 位址。

# your network interface
iface vmbr0 inet static
    # minecraft container as example
    post-up port_forward -t 10.0.0.201 -p tcp -d 22     -s 22201 # external port 22201 for direct ssh to container
    post-up port_forward -t 10.0.0.201 -p tcp -m -d 25566,25576
    post-up port_forward -t 10.0.0.201 -p udp -m -d 25566,25576
    # follow with all the port forwards you need

透過呼叫自訂連接埠轉送腳本，port_forward該腳本僅縮寫iptables命令以保持檔案可讀。該文件必須放置或連結到，/bin/以便在安裝使用者分割區之前載入它。

#!/bin/bash
# abbr for iptables dnat

usage() { echo "Usage: $0 -t <container_ip> -p <tcp/udp/etc> -d <port> [-s <external port if different>] [-m flag if ports will be comma separated list, not compatible with -s]" 1>&2; exit 0; }

while getopts t:p:d:s::m flag
do
    case "${flag}" in
        t) target_ip=${OPTARG};;
        p) protocoll=${OPTARG};;
        d) dest_port=${OPTARG};;
        s) src_port=${OPTARG};;
        m) multiport=1 ;;
        *) usage ;;
    esac
done

if [[ -z "$src_port" ]]; then
    src_port="$dest_port"
fi

if [[ "$multiport" -eq 1 ]]; then
    iptables -t nat -A PREROUTING -i eno1 -p "$protocoll" -m multiport --dports "$dest_port" -j DNAT --to "$target_ip"
else
    iptables -t nat -A PREROUTING -i eno1 -p "$protocoll" --dport "$src_port" -j DNAT --to "$target_ip":"$dest_port"
fi

每次更改檔案時，都需要重置 iptables，如下所示：

iptables --flush
iptables -t nat --flush
iptables --delete-chain
ifreload --all

這也可以放在一個文件中，我們將其命名reload_network並將其放在/usr/local/bin/資料夾中以作為命令存取。

Answer 1