6.3. 使用 nftables 配置 NAT

过程 6.9. 使用 nftables 配置伪装

1. 创建一个表：

   # nft add table nat

   Copy to Clipboard Toggle word wrap
2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   重要
   即使您没有向 prerouting 链中添加规则，nftables 框架也会要求此链与传入的数据包回复匹配。
   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 postrouting 链中添加一条规则，来匹配 ens3 接口上传出的数据包：

   # nft add rule nat postrouting oifname "ens3" masquerade

   Copy to Clipboard Toggle word wrap

过程 6.10. 使用 nftables 配置源 NAT

1. 创建一个表：

   # nft add table nat

   Copy to Clipboard Toggle word wrap
2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   重要
   即使您没有向 prerouting 链添加规则，nftables 框架也要求此链与传出数据包回复匹配。
   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 postrouting 链中添加一条规则，该规则将使用 192.0.2.1 替换通过ens3 的传出数据包的源 IP ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1

   Copy to Clipboard Toggle word wrap

过程 6.11. 使用 nftables 配置目标 NAT

1. 创建一个表：

   # nft add table nat

   Copy to Clipboard Toggle word wrap
2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }
   

   Copy to Clipboard Toggle word wrap
   重要
   即使您没有向 postrouting 链添加规则，nftables 框架也要求此链与传出数据包回复匹配。
   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 prerouting 链中添加一条规则，将发送到端口 80 和 443 的 ens3 接口上的传入流量重定向到 IP 为 192.0.2.1 的主机：

   # nft add rule nat prerouting iifname ens3 tcp dport { 80, 443 } dnat to 192.0.2.1

   Copy to Clipboard Toggle word wrap
4. 根据您的环境，添加 SNAT 或伪装规则以更改源地址：
   1. 如果 ens3 接口使用动态 IP 地址，请添加一条伪装规则：

      # nft add rule nat postrouting oifname "ens3" masquerade

      Copy to Clipboard Toggle word wrap
   2. 如果 ens3 接口使用静态 IP 地址，请添加 SNAT 规则。例如，如果 ens3 使用 198.51.100.1 IP 地址：

      # nft add rule nat postrouting oifname "ens3" snat to 198.51.100.1

      Copy to Clipboard Toggle word wrap

过程 6.12. 使用 nftables 配置重定向

1. 创建一个表：

   # nft add table nat

   Copy to Clipboard Toggle word wrap
2. 在表中添加 prerouting 链：

   # nft -- add chain nat prerouting { type nat hook prerouting priority -100 \; }

   Copy to Clipboard Toggle word wrap
   请注意，您必须将 -- 选项传递给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 prerouting 链中添加一条规则，其将端口 22 上的传入流量重定向到端口 2222 ：

   # nft add rule nat prerouting tcp dport 22 redirect to 2222

   Copy to Clipboard Toggle word wrap