8.4. nftables を使用した NAT の設定

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、着信パケット返信に一致するようにこのチェーンが必要になります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. postrouting チェーンに、ens3 インターフェイスの出力パケットに一致するルールを追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. ens3 を介した発信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. prerouting チェーンに、ルーターの ens3 インターフェイスのポート 80 および 443 への受信トラフィックを、IP アドレス 192.0.2.1 の Web サーバーにリダイレクトするルールを追加します。

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 環境に応じて、SNAT ルールまたはマスカレードルールを追加して、Web サーバーから返されるパケットのソースアドレスを送信者に変更します。

   1. ens3 インターフェイスが動的 IP アドレスを使用している場合は、マスカレードルールを追加します。

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 インターフェイスが静的 IP アドレスを使用する場合は、SNAT ルールを追加します。たとえば、ens3 が IP アドレス 198.51.100.1 を使用している場合は、以下のようになります。

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. パケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. 22 ポートの着信トラフィックを 2222 ポートにリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

手順

1. inet ファミリーの example-table テーブルを追加します。

   # nft add table inet <example-table>

2. 優先度タイプとして ingress フックと filter を含む example-flowtable フローテーブルを追加します。

   # nft add flowtable inet <example-table> <example-flowtable> { hook ingress priority filter \; devices = { enp1s0, enp7s0 } \; }

3. example-forwardchain フローをパケット処理テーブルからフローテーブルに追加します。

   # nft add chain inet <example-table> <example-forwardchain> { type filter hook forward priority filter \; }

   このコマンドは、forward フックと filter 優先度を備えた filter タイプのフローテーブルを追加します。

4. established 接続追跡状態を含むルールを追加して、example-flowtable フローをオフロードします。

   # nft add rule inet <example-table> <example-forwardchain> ct state established flow add @<example-flowtable>