描述一下我的问题:我想设置我的服务器发出的所有 tcp 包的 source ip 全部修改为某个特定的值。
我现在的做法是这样的:
sudo iptables -t nat -I POSTROUTING 1 \! -s 127.0.0.1 -p tcp \! --sport 22 -j SNAT --to 1.2.3.4
期望看到的是除了 22 端口以外的其他 tcp 包发出都是来源于 1.2.3.4 的包,其他电脑连接到服务器能收到来自 1.2.3.4 的包。
然而出现了以下的问题:
1 、首先我能确定这个 rule 是能够 match 的,因为我访问服务器的时候,服务器“ sudo iptables -t nat -L -n --line-number -v ”看到的这条 rule 的 pkts 在增加。至少是有包经过他了的。
2 、在服务器上 tcpdump 检查,发现本机发出去的包的 source ip 依然是服务器本身的原始 ip ,没有变成 1.2.3.4
3 、在客户端(比如我自己的电脑)连接服务器,收到的包都是源自服务器 ip ,而不是我设定的 1.2.3.4
所以我感觉是我的 rule 被 match 了, SNAT 似乎也是执行了,然而 source ip 却没有被修改。 google 一圈下来也没什么头绪,弄了一个通宵了,不知道有没有了解的能指点迷津
1
kingwkb 2017-01-23 11:45:03 +08:00 via iPhone
这是要做攻击么?
|
2
blahgeek 2017-01-23 12:04:28 +08:00 via iPhone
把 iptables -L -t nat -v 发出来吧
|
4
eastpiger OP |
5
blahgeek 2017-01-23 15:15:51 +08:00 via iPhone
把 MASQ 规则删掉看看? SNAT 目标是不会终止的好像,会继续向下执行
|
6
eastpiger OP @blahgeek 依旧。而且 MASQ 都是限制 docker 发出来的, source 在 172 开头的 ip ,我是直接在宿主机上测试的
|
7
feather12315 2017-11-23 11:51:17 +08:00
我也遇到了这个问题,解决了吗?
|