Как настроить сервер Linux в качестве маршрутизатора с NAT

У нас есть простой маршрутизатор с NAT симметричного типа, но поскольку этот маршрутизатор не предоставляет нам интерфейс для отладки, мы не можем выяснить, доходит ли конкретный пакет до NAT или нет.

Таким образом, мы хотим настроить компьютер на LINUX, чтобы он стал маршрутизатором с симметричным NAT, таким образом мы сможем захватывать все пакеты к этому «NAT» и получать необходимую информацию. Как мы можем это сделать на linux (система Fedora, ядро 2.6.xx)?

Чтобы настроить машину с linux в качестве маршрутизатора, вам нужно выполнить следующее

1- Включите пересылку на устройстве с помощью

echo 1 > /proc/sys/net/ipv4/ip_forward

Предполагая, что ваш публичный интерфейс — eth1, а локальный интерфейс — eth0

2- Настройте правило NAT с помощью:

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

3- Разрешите трафик с eth0:

iptables -A INPUT -i eth0 -j ACCEPT

4- Разрешите установленные соединения с публичного интерфейса.

iptables -A INPUT -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

5- Разрешите исходящие соединения:

iptables -A OUTPUT -j ACCEPT

Примечание: эти настройки будут утеряны после перезагрузки. Прочитайте, как сохранить правила iptables.

Я думаю, что другие ответы упустили некоторые важные моменты. Вот другой способ, предполагая, что iptables в свежем состоянии, снова используя eth0 в качестве внутреннего интерфейса и eth1 в качестве внешнего:

1. Включите пересылку IP в ядре:

   echo 1 > /proc/sys/net/ipv4/ip_forward
   # или
   sysctl -w net.ipv4.ip_forward=1
   

   Чтобы сохранить это изменение после перезагрузки, добавьте или раскомментируйте net.ipv4.ip_forward=1 в /etc/sysctl.conf или в файле в /etc/sysctl.d.

2. Включите маскировку на eth1, чтобы переписывать адрес источника в исходящих пакетах. Если вы действительно хотите симметричный NAT, вам нужно добавить --random в конце:

   iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE --random
   

3. Настройте правила пересылки. По умолчанию iptables будет перенаправлять весь трафик без условий. Вероятно, вы хотите ограничить входящий трафик с интернета, но разрешить все исходящие:

   # Разрешить трафик с внутреннего на внешний
   iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
   # Разрешить возвращающий трафик с внешнего на внутренний
   iptables -A FORWARD -i eth1 -o eth0 -m conntrack --ctstate RELATED, ESTABLISHED -j ACCEPT
   # Отбрасывать весь другой трафик, который не должен быть перенаправлен
   iptables -A FORWARD -j DROP
   

Обратите внимание, что мы не трогали цепочки INPUT или OUTPUT в таблице фильтров; они не относятся к маршрутизации.

Чтобы сохранить эти изменения брандмауэра после перезагрузки:

iptables-save > /etc/sysconfig/iptables
systemctl enable --now iptables

Этот шаг будет варьироваться в зависимости от дистрибутива Linux.

Это простой скрипт, который может сделать свое дело, он включает в себя все, что нужно маршрутизатору, он хорошо протестирован на UBUNTU 16.04

#!/bin/bash
# Этот скрипт написан, чтобы сделать вашу Linux-машину маршрутизатором
# С его помощью вы можете настроить свою Linux-машину в качестве шлюза.
# Автор @ Mansur Ul Hasan
# Email  @ [email protected]

  # Определение интерфейсов для шлюза.
  INTERNET=eth1
  LOCAL=eth0

# ВАЖНО: активируйте пересылку IP в ядре!

   # По умолчанию отключено!
   echo "1" > /proc/sys/net/ipv4/ip_forward

   # Загружаем различные модули. Обычно они уже загружены 
   # (особенно для новых ядер), в этом случае 
   # следующие команды не нужны.

   # Загружаем модуль iptables:
   modprobe ip_tables

   # активируем отслеживание соединений
   # (учитываются состояния соединений)
   modprobe ip_conntrack

   # Специальные функции для IRC:
   modprobe ip_conntrack_irc

   # Специальные функции для FTP:
   modprobe ip_conntrack_ftp

   # Удаление всех правил в INPUT, OUTPUT и FILTER   
   iptables --flush

   # Сбрасываем все правила в таблице nat 
   iptables --table nat --flush

   # Удаление всех существующих цепочек
   iptables --delete-chain

   # Удаление всех цепочек, которые не находятся в таблице фильтров и nat по умолчанию
   iptables --table nat --delete-chain

   # Разрешение установленных соединений с публичного интерфейса.
   iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED,RELATED -j ACCEPT

   # Настройка пересылки IP и маскирования
   iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE
   iptables --append FORWARD --in-interface $LOCAL -j ACCEPT

   # Разрешение исходящих соединений
   iptables -A OUTPUT -j ACCEPT

Для тех, кто хочет попробовать firewall-cmd

Предполагаем:
wan интерфейс — ens192,
lan интерфейс — ens224,
зона брандмауэра nm-shared уже создана и установлена (как было в моем случае)

по умолчанию оба интерфейса находились в моей зоне public, так что я просто переместил ens224 в nm-shared

firewall-cmd --zone=nm-shared --change-interface=ens224

и включил masquerade на public

firewall-cmd --zone=public --add-masquerade

и на этом этапе это сработало.
Для постоянных изменений см. флаги --permanent и --reload

больше информации docs.redhat.com и man firewall-cmd