6.4.4. Configuração do NAT de destino usando nftables
O NAT de destino permite redirecionar o tráfego em um roteador para um host que não é diretamente acessível a partir da Internet.
O procedimento a seguir descreve como redirecionar o tráfego de entrada enviado para a porta 80
e 443
do roteador para o host com o endereço IP 192.0.2.1
.
Procedimento
Criar uma mesa:
# nft adicionar tabela nat
Acrescente as cadeias
prerouting
epostrouting
à tabela:# nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; } # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
ImportanteMesmo que você não acrescente uma regra à cadeia
postrouting
, a estruturanftables
exige que esta cadeia combine as respostas dos pacotes de saída.Observe que você deve passar a opção
--
para o comandonft
para evitar que o shell interprete o valor de prioridade negativa como uma opção do comandonft
.Adicione uma regra à cadeia
prerouting
que redireciona o tráfego de entrada na interfaceens3
enviada para a porta80
e443
para o host com o IP192.0.2.1
:# nft adicionar regra nat prerouting iifname ens3 tcp dport { 80, 443 } dnat a 192.0.2.1
Dependendo de seu ambiente, adicione uma regra SNAT ou mascarada para alterar o endereço de origem:
Se a interface
ens3
utilizava endereços IP dinâmicos, acrescente uma regra de mascaramento:# nft adicionar regra nat postrouting oifname {\i1}"ens3} mascarada
Se a interface
ens3
usa um endereço IP estático, adicione uma regra SNAT. Por exemplo, se oens3
usa o endereço IP198.51.100.1
:nft adicionar a regra nat postrouting oifname {\i1}"ens3} snat a 198.51.100.1