6.4.4. Configuración del NAT de destino mediante nftables
La NAT de destino permite redirigir el tráfico en un router a un host al que no se puede acceder directamente desde Internet.
El siguiente procedimiento describe cómo redirigir el tráfico entrante enviado al puerto 80
y 443
del router al host con la dirección IP 192.0.2.1
.
Procedimiento
Crea una tabla:
nft add table nat
# nft add table nat
Copy to Clipboard Copied! Toggle word wrap Toggle overflow Añade las cadenas
prerouting
ypostrouting
a la tabla:nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; } nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
# nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; } # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
Copy to Clipboard Copied! Toggle word wrap Toggle overflow ImportanteIncluso si no se añade una regla a la cadena
postrouting
, el marconftables
requiere esta cadena para que coincida con las respuestas de los paquetes salientes.Tenga en cuenta que debe pasar la opción
--
al comandonft
para evitar que el shell interprete el valor de prioridad negativo como una opción del comandonft
.Añada una regla a la cadena
prerouting
que redirija el tráfico entrante en la interfazens3
enviado al puerto80
y443
al host con la IP192.0.2.1
:nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1
# nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1
Copy to Clipboard Copied! Toggle word wrap Toggle overflow Dependiendo de su entorno, añada una regla SNAT o de enmascaramiento para cambiar la dirección de origen:
Si la interfaz
ens3
utiliza direcciones IP dinámicas, añada una regla de enmascaramiento:nft add rule nat postrouting oifname \ "ens3" masquerade
# nft add rule nat postrouting oifname \ "ens3" masquerade
Copy to Clipboard Copied! Toggle word wrap Toggle overflow Si la interfaz
ens3
utiliza una dirección IP estática, añada una regla SNAT. Por ejemplo, si elens3
utiliza la dirección IP198.51.100.1
:nft add rule nat postrouting oifname \ "ens3" snat to 198.51.100.1
nft add rule nat postrouting oifname \ "ens3" snat to 198.51.100.1
Copy to Clipboard Copied! Toggle word wrap Toggle overflow