Chuyển hướng lưu lượng truy cập từ một IP và cổng sang một IP và cổng khác

Một điều gì đó rất phổ biến khi quản lý các máy chủ đang chuyển hướng lưu lượng truy cập.

Giả sử chúng ta có một máy chủ với các dịch vụ nhất định đang chạy, nhưng vì lý do gì đó mà chúng ta thay đổi một trong các dịch vụ đó (Tôi không biết, ví dụ pop3 là cổng 110) đến một máy chủ khác. Thông thường và thường xuyên nhất sẽ chỉ là thay đổi IP trong bản ghi DNS, tuy nhiên nếu ai đó đang sử dụng IP thay vì tên miền phụ thì điều đó sẽ bị ảnh hưởng.

Để làm gì? ... đơn giản, chuyển hướng lưu lượng mà máy chủ nhận được qua cổng đó đến máy chủ khác có cùng cổng.

Làm thế nào để chúng tôi bắt đầu chuyển hướng lưu lượng truy cập?

Điều đầu tiên là chúng ta phải bật chuyển tiếp trên máy chủ, đối với điều này, chúng tôi sẽ đặt như sau:

echo "1" > /proc/sys/net/ipv4/ip_forward

Bạn cũng có thể sử dụng lệnh khác này, trong trường hợp lệnh trước đó không hoạt động với bạn (nó đã xảy ra với tôi như thế này trên CentOS):
sysctl net.ipv4.ip_forward=1
Sau đó, chúng tôi sẽ khởi động lại mạng:

service networking restart

Trong các bản phân phối RPM như CentOS và các bản khác, nó sẽ là:

service nertwork restart

Bây giờ chúng ta sẽ chuyển sang điều quan trọng, thông báo cho máy chủ thông qua iptables chuyển hướng cái gì:

iptables -t nat -A PREROUTING -p tcp --dport <puerto receptor> -j DNAT --to-destination <ip final>:<puerto de ip final>

Đó là, và theo ví dụ tôi đã đề cập, giả sử chúng tôi muốn chuyển hướng tất cả lưu lượng mà máy chủ của chúng tôi nhận được qua cổng 110 đến một máy chủ khác (ví dụ: 10.10.0.2), sẽ vẫn nhận được lưu lượng truy cập đó đến 110 (nó là cùng một dịch vụ):

iptables -t nat -A PREROUTING -p tcp --dport 110 -j DNAT --to-destination 10.10.0.2:110

Máy chủ 10.10.0.2 sẽ thấy rằng tất cả các gói hoặc yêu cầu đến từ IP của máy khách, trong trường hợp họ muốn chuyển các yêu cầu, tức là máy chủ thứ 2 thấy rằng các yêu cầu đến bằng IP của máy chủ thứ nhất (và trong mà chúng tôi áp dụng chuyển hướng), nó cũng sẽ là đặt dòng thứ hai này:

iptables -t nat -A POSTROUTING -j MASQUERADE

Một số câu hỏi và câu trả lời

Trong ví dụ, tôi đã sử dụng cùng một cổng cả hai lần (110), tuy nhiên chúng có thể chuyển hướng lưu lượng từ cổng này sang cổng khác mà không gặp vấn đề gì. Ví dụ: giả sử tôi muốn chuyển hướng lưu lượng truy cập từ cổng 80 đến 443 trên một máy chủ khác, nó sẽ là:

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 10.10.0.2:443

Đây là iptables, họ có thể sử dụng tất cả các tham số khác mà chúng tôi biết, ví dụ: nếu chúng tôi chỉ muốn chuyển hướng lưu lượng truy cập từ một IP cụ thể, thì sẽ bằng cách thêm -s … Ví dụ, tôi sẽ chỉ chuyển hướng lưu lượng truy cập đến từ 10.10.0.51:

iptables -t nat -A PREROUTING -p tcp -s 10.10.0.51 --dport 80 -j DNAT --to-destination 10.10.0.2:443

Hoặc toàn bộ mạng (/ 24):

iptables -t nat -A PREROUTING -p tcp -s 10.10.0.0/24 --dport 80 -j DNAT --to-destination 10.10.0.2:443

Chúng tôi cũng có thể chỉ định giao diện mạng với -i :

iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 80 -j DNAT --to-destination 10.10.0.2:443

Kết thúc!

Điều này như tôi đã nói rồi, là iptables, bạn có thể áp dụng những gì đã biết để máy chủ thực hiện chính xác những gì bạn muốn 😉

Chúc mừng!