iptables는 요청 외부에서 127.0.0.1로 리디렉션

포트 2222를 사용하여 127.0.0.1에서 서비스를 실행하고 있습니다. 모든 요청을 서브넷 192.168.1.0/24에서 127.0.0.1:2222 로만 192.168.2.2:2222 (외부 IP)로 전달해야 합니다.

이것을 사용하려고하는데 작동하지 않습니다.

$ iptables -t nat -I PREROUTING -p tcp -d 192.168.1.0/24 --dport 2222 -j DNAT --to-destination 127.0.0.1:2222

이 기능을 작동 시키려면 어떻게해야합니까?

UPD : 주소 체계를 편집합니다.

사용중인 iptables 규칙이 작동하지만 추가로 변경해야 할 사항이 하나 있습니다.

sysctl -w net.ipv4.conf.eth0.route_localnet=1

( eth0NIC 교체 와 함께 192.168.2.2)

기본적으로이 값은입니다 0. 커널은 대상 외부 트래픽을 라우팅하지 않도록 지시합니다 127.0.0.0/8. 이는 트래픽이 정상이 아니기 때문에 보안을위한 것입니다.

추가 참고 사항 : 현재 iptables 규칙이 너무 광범위합니다. 규칙 -d 192.168.1.0/24 --dport 2222은 대상 일치로 지정합니다 . 즉, 컴퓨터가 포트 2222의 다른 호스트 (예 : 아웃 바운드 트래픽)와 통신을 시도하면 리디렉션됩니다. -d일치를 로 변경 -d 192.168.2.2하거나 추가 -i eth0(또는 귀하의 nic가 무엇이든)해야합니다.

localhost로 리디렉션 할 수 있지만 루프백 (127.0.0.0/8)으로 리디렉션 할 수는 없습니다. 루프백은 허점입니다. 실제 인터페이스 중 하나로 리디렉션해야합니다. REDIRECT를 사용해보십시오.

iptables -t nat -A PREROUTING ..... -j REDIRECT --to-port 222

로 정답이 route_localnet작동하지 않으면 어떻게합니까? ..

커널 에 패치route_localnet 가 포함 되어 있지 않으면 ... 커널을 업그레이드하십시오!

또는 외부 인터페이스에서 수신 대기하고 트래픽을 전달하는 프로세스를 실행하여 한 인터페이스로 들어오는 트래픽을 다른 인터페이스의 다른 포트 (특히 localhost)로 전달하는 다른 방법이 있습니다.

netcat( nc),, xinetd및 ssh(그리고 아마도 더)는 이것을 할 수있는 프로그램의 모든 예입니다 (선택 ssh은 이상하고 비효율적 이지만 ).

이에 대한 구성을 작성했습니다 xinetd. 이제이 서비스가 자동으로 나타납니다.

# cat /etc/xinetd.d/z-from-outside 
# default: off
# description: Forward connections to the z port.
service z-from-outside
{
    disable         = no
    socket_type     = stream
    type        = UNLISTED
    wait            = no
    user            = nobody
    bind        = vaio.ob
    port        = 7070
    redirect    = localhost 7070
}
# 

( vaio.ob외부 네트워크 인터페이스에서이 호스트의 이름입니다.)

a service xinetd reload다음에 듣고 있는지 확인하십시오.

# lsof -i -P | fgrep 7070
xinetd    556      root    6u  IPv4 1797906      0t0  TCP vaio.ob:7070 (LISTEN)
sshd    27438 tun_zzoom    4u  IPv4 1059100      0t0  TCP localhost.localdomain:7070 (LISTEN)
# 

그리고 실제로 연결이 이루어집니다!