iptables nat не захватывает пакеты ICMPv6.

Ubuntu 22.04

Я пытаюсь перенаправить пакеты ICMPv6 на другую цель, и iptables казался идеальным решением.

Итак, я попробовал цель -j DNAT таблицы -t nat и обнаружил, что на ICMPv6 это не оказало никакого эффекта. Напротив, таблица по умолчанию filter успешно захватывает пакеты ICMPv6. Действительно, если я добавлю цель LOG следующим образом:

# успешно ведет журнал входящих пакетов ICMPv6
sudo ip6tables -i eth0 -p icmpv6 -d xxxx::xxxx -A INPUT -j LOG

Я могу видеть записи, которые фиксируются через dmesg. Но присоединение к цепочке INPUT/PREROUTING таблицы nat не создает записей журнала:

# Записи журнала не создаются
sudo ip6tables -i eth0 -p icmpv6 -d xxxx::xxxx -A PREROUTING -j LOG -t nat
sudo ip6tables -i eth0 -p icmpv6 -d xxxx::xxxx -A INPUT -j LOG -t nat

Это логично, поскольку man iptables(8) говорит:

nat:
    Эта таблица используется, когда встречается пакет, создающий новое соединение.

и нет никаких пакетов, создающих новое соединение, связанных с ICMPv6. Проблема в том, что -j DNAT можно использовать только с -t nat.

Есть ли способ перенаправить пакеты ICMPv6 на другую цель?

и нет никаких пакетов, создающих новое соединение, связанных с ICMPv6. Проблема в том, что -j DNAT можно использовать только с -t nat.

Что касается маршрутизируемых пакетов ICMPv6:

Специально для ICMP «Echo» и «Echo Reply» (т.е. пакеты ping), они работают так же, как ICMP с UDP – первый пакет, еще не известный conntrack (подсистеме отслеживания соединений iptables), и создает состояние потока, и все последующие пакеты автоматически распознаются как часть этого потока.

Поток автоматически забывается (т.е. «соединение закрывается» в терминах руководства) после того, как он был бездействующим в течение sysctl net.netfilter.nf_conntrack_icmp{,v6}_timeout секунд – или после того, как вы вручную удалите его, используя conntrack -D -p icmpv6.

Основное отличие от UDP заключается в том, что вместо src/dst портов, запись conntrack идентифицируется по ID запроса ICMP Echo (или, возможно, просто по IP-адресам). Редко используемый запрос временной метки ICMP работал бы так же.

Все остальные пакеты ICMP, которые не являются запросами, не могут быть DNAT’ed (или, скорее, нет смысла их отдельно NAT’ить), потому что они уже принадлежат существующему потоку. Например, пакет ICMP “Network Unreachable”, сгенерированный в ответ на пакет TCP, будет считаться частью потока TCP (и DNAT’ится/SNAT’ится только в том случае, если исходное TCP-соединение было DNAT’итом/SNAT’итом).

Наконец, специфические для ICMPv6 пакеты “neighbor discovery” (NS/NA/RS/RA) не могут быть NAT’иты, поскольку они по своей сути являются link-local и изначально не пересылаются через маршрутизатор.