6.3. nftables を使用した NAT の設定

手順6.9 nftables を使用したマスカレードの設定

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting および postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要
   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、受信パケット返信に一致するようにこのチェーンが必要になります。
   シェルが優先度の負の値を nft コマンドのオプションとして解釈しないように、-- オプションを nft コマンドに渡す必要があることに注意してください。
3. ens3 インターフェイスの送信パケットに一致するルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

手順6.10 nftables を使用したソース NAT の設定

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting および postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要
   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。
   シェルが優先度の負の値を nft コマンドのオプションとして解釈しないように、-- オプションを nft コマンドに渡す必要があることに注意してください。
3. ens3 を介した送信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

手順6.11 nftables を使用した宛先 NAT の設定

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting および postrouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
   

   重要
   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。
   シェルが優先度の負の値を nft コマンドのオプションとして解釈しないように、-- オプションを nft コマンドに渡す必要があることに注意してください。
3. IP が 192.0.2.1 のホストにポート 80 および 443 に送信された ens3 インターフェイスの着信トラフィックをリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 環境に応じて、SNAT ルールまたはマスカレードルールを追加して、ソースアドレスを変更します。
   1. ens3 インターフェイスが動的 IP アドレスを使用している場合は、マスカレードルールを追加します。

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 インターフェイスが静的 IP アドレスを使用する場合は、SNAT ルールを追加します。たとえば、ens3 が 198.51.100.1 IP アドレスを使用する場合：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

手順6.12 nftables を使用したリダイレクトの設定

1. テーブルを作成します。

   # nft add table nat

2. テーブルに prerouting チェーンを追加します。

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   シェルが優先度の負の値を nft コマンドのオプションとして解釈しないように、-- オプションを nft コマンドに渡す必要があることに注意してください。
3. 22 ポートの着信トラフィックを 2222 ポートにリダイレクトするルールを prerouting チェーンに追加します。

   # nft add rule nat prerouting tcp dport 22 redirect to 2222