8.3. nftables를 사용하여 NAT 구성

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 사전 설정 및 사 후 체인 을 테이블에 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   prerouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크를 사용하려면 들어오는 패킷 응답과 일치해야 합니다.

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 인터페이스에서 나가는 패킷과 일치하는 postrouting 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" masquerade

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 사전 설정 및 사 후 체인 을 테이블에 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   사 후 체인에 규칙을 추가하지 않더라도 nftables 프레임워크를 사용하려면 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 을 통해 나가는 패킷의 소스 IP를 192.0.2.1 로 대체하는 후 라우팅 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 다음 표에 다음 체인을 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   postrouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크에는 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 라우터의 ens3 인터페이스에서 IP 주소 192.0.2.1 을 사용하여 웹 서버로 들어오는 트래픽을 포트 80 및 443 으로 리디렉션하는 이전 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 환경에 따라 SNAT 또는 마스커레이딩 규칙을 추가하여 웹 서버에서 발신자로 반환되는 패킷의 소스 주소를 변경합니다.

   1. ens3 인터페이스에서 동적 IP 주소를 사용하는 경우 마스커레이딩 규칙을 추가합니다.

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 인터페이스에서 고정 IP 주소를 사용하는 경우 SNAT 규칙을 추가합니다. 예를 들어 ens3 에서 198.51.100.1 IP 주소를 사용하는 경우 다음을 실행합니다.

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. 패킷 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

프로세스

1. 테이블을 생성합니다.

   # nft add table nat

2. 테이블에 사전 체인을 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   쉘이 음수 우선순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 포트 22에서 들어오는 트래픽을 포트 22 로 리디렉션하는 사전 아웃 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting tcp dport 22 redirect to 2222