8.4. nftables를 사용하여 NAT 구성

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 사전 설정 및 사 후 체인 을 테이블에 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   prerouting 체인에 규칙을 추가하지 않더라도 nftables 프레임워크를 사용하려면 들어오는 패킷 응답과 일치해야 합니다.

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 인터페이스에서 나가는 패킷과 일치하는 postrouting 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" masquerade

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 사전 설정 및 사 후 체인 을 테이블에 추가합니다.

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   사 후 체인에 규칙을 추가하지 않더라도 nftables 프레임워크를 사용하려면 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. ens3 을 통해 나가는 패킷의 소스 IP를 192.0.2.1 로 대체하는 후 라우팅 체인에 규칙을 추가합니다.

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 사전 설정 및 사 후 체인 을 테이블에 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   중요

   사 후 체인에 규칙을 추가하지 않더라도 nftables 프레임워크를 사용하려면 이 체인이 발신 패킷 응답과 일치해야 합니다.

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 라우터의 ens3 인터페이스에서 IP 주소 192.0.2.1 을 사용하여 웹 서버로 들어오는 트래픽을 포트 80 및 443 으로 리디렉션하는 이전 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

4. 환경에 따라 SNAT 또는 마스커레이딩 규칙을 추가하여 웹 서버에서 보낸 사람에게 반환되는 패킷의 소스 주소를 변경합니다.

   1. ens3 인터페이스에서 동적 IP 주소를 사용하는 경우 masquerading 규칙을 추가합니다.

      # nft add rule nat postrouting oifname "ens3" masquerade

   2. ens3 인터페이스에서 고정 IP 주소를 사용하는 경우 SNAT 규칙을 추가합니다. 예를 들어 ens3 에서 198.51.100.1 IP 주소를 사용하는 경우:

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

5. 패킷 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

절차

1. 테이블을 생성합니다.

   # nft add table nat

2. 테이블에 사전 제한 체인 을 추가합니다.

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   쉘에서 음수 우선 순위 값을 nft 명령의 옵션으로 해석하지 못하도록 -- 옵션을 nft 명령에 전달해야 합니다.

3. 포트 22 에서 들어오는 트래픽을 포트 2222 로 리디렉션하는 사전 할당 체인에 규칙을 추가합니다.

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

절차

1. inet family의 예제 테이블 추가:

   # nft add table inet <example-table>

2. Ingress 후크를 사용하여 example-flowtable flowtable을 추가하고 우선순위 유형으로 filter 를 추가합니다.

   # nft add flowtable inet <example-table> <example-flowtable> { hook ingress priority filter \; devices = { enp1s0, enp7s0 } \; }

3. 패킷 처리 테이블의 flowtable에 example-forwardchain flow를 추가합니다.

   # nft add chain inet <example-table> <example-forwardchain> { type filter hook forward priority filter \; }

   이 명령은 전달 후크 및 필터 우선 순위로 필터 유형의 흐름을 추가합니다.

4. 설정된 연결 추적 상태가 포함된 규칙을 추가하여 example-flowtable 흐름을 오프로드합니다.

   # nft add rule inet <example-table> <example-forwardchain> ct state established flow add @<example-flowtable>