6.4.2. Configuração de mascaramento usando nftables
O mascaramento permite que um roteador altere dinamicamente o IP de origem dos pacotes enviados através de uma interface para o endereço IP da interface. Isto significa que se a interface recebe um novo IP atribuído, nftables
usa automaticamente o novo IP ao substituir o IP de origem.
O procedimento a seguir descreve como substituir o IP de origem dos pacotes que saem do host através da interface ens3
para o conjunto IP em ens3
.
Procedimento
Criar uma mesa:
# nft adicionar tabela nat
Acrescente as cadeias
prerouting
epostrouting
à tabela:# nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; } # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
ImportanteMesmo que você não acrescente uma regra à cadeia
prerouting
, a estruturanftables
exige que esta cadeia corresponda às respostas dos pacotes recebidos.Observe que você deve passar a opção
--
para o comandonft
para evitar que o shell interprete o valor de prioridade negativa como uma opção do comandonft
.Adicione uma regra à cadeia
postrouting
que combine com os pacotes de saída na interfaceens3
:# nft add rule nat postrouting oifname"ens3" mascarada