2.8. nftables を使用したポート転送の設定
ポート転送を使用すると、管理者は特定の宛先ポートに送信されたパケットを、別のローカルまたはリモートポートに転送できます。
たとえば、Web サーバーにパブリック IP アドレスがない場合は、ファイアウォールの 80 ポートおよび 443 ポートの着信パケットを Web サーバーに転送するファイアウォールのポート転送ルールを設定できます。このファイアウォールルールを使用すると、インターネットのユーザーは、ファイアウォールの IP またはホスト名を使用して Web サーバーにアクセスできます。
2.8.1. 着信パケットの別のローカルポートへの転送
nftables を使用してパケットを転送できます。たとえば、ポート 8022 の着信 IPv4 パケットを、ローカルシステムのポート 22 に転送できます。
手順
ipアドレスファミリーを使用して、natという名前のテーブルを作成します。# nft add table ip natテーブルに、
preroutingチェーンおよびpostroutingチェーンを追加します。# nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }注記--オプションをnftコマンドに渡して、シェルが負の priority 値をnftコマンドのオプションとして解釈しないようにします。8022ポートの着信パケットを、ローカルポート22にリダイレクトするルールをpreroutingチェーンに追加します。# nft add rule ip nat prerouting tcp dport 8022 redirect to :22
2.8.2. 特定のローカルポートで着信パケットを別のホストに転送
宛先ネットワークアドレス変換 (DNAT) ルールを使用して、ローカルポートの着信パケットをリモートホストに転送できます。これにより、インターネット上のユーザーは、プライベート IP アドレスを持つホストで実行しているサービスにアクセスできるようになります。
たとえば、ローカルポート 443 の着信 IPv4 パケットを、IP アドレス 192.0.2.1 を持つリモートシステムの同じポート番号に転送できます。
前提条件
-
パケットを転送するシステムに
rootユーザーとしてログインしている。
手順
ipアドレスファミリーを使用して、natという名前のテーブルを作成します。# nft add table ip natテーブルに、
preroutingチェーンおよびpostroutingチェーンを追加します。# nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; } # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }
注記--オプションをnftコマンドに渡して、シェルが負の priority 値をnftコマンドのオプションとして解釈しないようにします。443ポートの着信パケットを192.0.2.1上の同じポートにリダイレクトするルールをpreroutingチェーンに追加します。# nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1出力トラフィックをマスカレードするルールを
postroutingチェーンに追加します。# nft add rule ip nat postrouting daddr 192.0.2.1 masqueradeパケット転送を有効にします。
# echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf
