新人端口转发问题

fengymi

编辑: 我可能忽略了一个因素，因为1是整个局域网的网关，也是和外部的唯一网关，真正配置1转发的时候不是192.168.1.1转发到192.168.1.3的，而是192.168.1.1的wan口对应的ip转发的

局域网内旁路由网关的设备，通过主网关直接转发无法正常

我希望线路1可以转发成功: 192.168.1.1 -> 192.168.1.3 这个需要怎么配置


我目前解决方案:
192.168.1.1 直接转发到 192.168.1.3
改成
192.168.1.1 转发到 192.168.1.2 再转发到 192.168.1.3

抓了下包看结果，初步理解原因是，网关直接转发到设备，但是设备回路先过了旁路由。

网络拓扑大概是这样

主网关: 192.168.1.1
旁网关: 192.168.1.2
设备: 192.168.1.3 (网关是192.168.1.2)

ca972008

搞的好复杂，你想实现什么功能

fengymi

ca972008 发表于 2024-3-25 15:20
搞的好复杂，你想实现什么功能

就是外网访问内网设备，但是这个内网设备是走的旁路由网关

ca972008

弄zerotier，要安全的多，端口转发，有暴漏的风险，尽管不是特别高的风险，但是还是有

95201

内网访问不用走旁路由的，把1-2，2-3的2条转发删掉，即可。

fengymi

95201 发表于 2024-3-25 15:25
内网访问不用走旁路由的，把1-2，2-3的2条转发删掉，即可。

我希望就是1-3直接转发，但是在1上这么配置，外网无法访问。所以只能1-2,2-3。

ca972008

应该也可以把3的防火墙设置成 lan与wan 可以通过，转发

fengymi

ca972008 发表于 2024-3-25 15:32
应该也可以把3的防火墙设置成 lan与wan 可以通过，转发

3的防火墙没开。我刚才去3上面抓包看了下，因为1转发过来的ip是外部的ip，所以3需要走网关-2回去。我现在想如果1通过lan口转发到3，那3拿到的应该1的lanip，估计就可以了

ca972008

3应该是个电脑吧，那就是弄2的防火墙。严格意义上，现在1与3 ，不在同一个区域，被2的lan和wan区隔离了。

你也可以试试，3直接ping1，是ping不通的

fengymi

ca972008 发表于 2024-3-25 15:39
3应该是个电脑吧，那就是弄2的防火墙。严格意义上，现在1与3 ，不在同一个区域，被2的lan和wan区隔离了。

...

3是普通的设备，也可以认为是电脑，不过我防火墙全部关了。
1和3是同一个网段的，是可以ping通的，2是旁路由。所以3的网关是2而不是1，我如果现在直接通过1请求到3也是没问题的

阿泥基

应该是回程时经过旁路由进行了SNAT，导致与主路由上的连接状态不符合
可以试下在旁路由的IP动态伪装前加上一条规则，让源地址192.168.1.3:443的流跳过SNAT

具体规则要看你的防火墙是iptables还是nftables
nftables的话是

1. nft insert rule inet fw4 srcnat ip saddr 192.168.1.3 tcp sport 443 accept

复制代码

iptables我手上没有样本，你可以把iptables-save的结果发出来看看怎么加

Sivon

旁路由防火墙规则开端口（？

fengymi

Sivon 发表于 2024-3-25 15:58
旁路由防火墙规则开端口（？

其实这种情况我是不希望再过旁路由，我现在是只能有网关转发到旁路由再转发到我的设备(1 -> 2 -> 3)。我是希望可以直接网关转发到设备(1 -> 3)

阿泥基

fengymi 发表于 2024-3-25 16:00
其实这种情况我是不希望再过旁路由，我现在是只能有网关转发到旁路由再转发到我的设备(1 -> 2 -> 3)。我 ...

这种情况有个方法是给192.168.1.3的设备配置多一个192.168.1.4的地址，使用192.168.1.1的网关，并且把跃点数调高
这样从192.168.1.1发到192.168.1.4的流量就不会走旁路由
具体操作要看你的操作系统，有可能无法配置或者要使用虚拟网卡

fengymi

阿泥基 发表于 2024-3-25 15:57
应该是回程时经过旁路由进行了SNAT，导致与主路由上的连接状态不符合
可以试下在旁路由的IP动态伪装前加上 ...

看起来是这个问题

1. -A zone_lan_postrouting -j MINIUPNPD-POSTROUTING
   
2. -A zone_lan_postrouting -j MINIUPNPD-POSTROUTING
   
3. -A zone_lan_postrouting -m comment --comment "!fw3: Custom lan postrouting rule chain" -j postrouting_lan_rule
   
4. -A zone_lan_postrouting -s 10.0.0.0/16 -d 10.0.0.4/32 -p tcp -m tcp --dport 443 -m comment --comment "!fw3: truenas (reflection)" -j SNAT --to-source 10.0.0.2
   
5. -A zone_lan_postrouting -s 10.0.0.0/16 -d 10.0.0.4/32 -p udp -m udp --dport 443 -m comment --comment "!fw3: truenas (reflection)" -j SNAT --to-source 10.0.0.2
   
6. -A zone_lan_postrouting -m comment --comment "!fw3" -j FULLCONENAT
   
7. -A zone_lan_prerouting -j MINIUPNPD
   
8. -A zone_lan_prerouting -j MINIUPNPD
   
9. -A zone_lan_prerouting -m comment --comment "!fw3: Custom lan prerouting rule chain" -j prerouting_lan_rule
   
10. -A zone_lan_prerouting -p tcp -m tcp --dport 10443 -m comment --comment "!fw3: truenas" -j DNAT --to-destination 10.0.0.4:443
    
11. -A zone_lan_prerouting -p udp -m udp --dport 10443 -m comment --comment "!fw3: truenas" -j DNAT --to-destination 10.0.0.4:443
    
12. -A zone_lan_prerouting -s 10.0.0.0/16 -d 10.0.0.2/32 -p tcp -m tcp --dport 10443 -m comment --comment "!fw3: truenas (reflection)" -j DNAT --to-destination 10.0.0.4:443
    
13. -A zone_lan_prerouting -s 10.0.0.0/16 -d 10.0.0.2/32 -p udp -m udp --dport 10443 -m comment --comment "!fw3: truenas (reflection)" -j DNAT --to-destination 10.0.0.4:443
    
14. -A zone_lan_prerouting -m comment --comment "!fw3" -j FULLCONENAT
    
15. -A zone_wan_postrouting -m comment --comment "!fw3: Custom wan postrouting rule chain" -j postrouting_wan_rule
    
16. -A zone_wan_postrouting -m comment --comment "!fw3" -j FULLCONENAT
    
17. -A zone_wan_prerouting -m comment --comment "!fw3: Custom wan prerouting rule chain" -j prerouting_wan_rule
    
18. -A zone_wan_prerouting -m comment --comment "!fw3" -j FULLCONENAT

复制代码