Chuyển tiếp cổng

Bài viết này giới thiệu chức năng「Chuyển tiếp cổng」của bảng điều khiển — làm chuyển tiếp cổng truyền thống (iptables/nftables DNAT) trên máy chủ có IP công cộng riêng.

Hiểu trong một câu

Bạn có một máy chủ có IP công cộng, muốn nó tự động chuyển lưu lượng nhận được ở「một cổng công cộng」sang「một máy khác (hoặc một cổng khác trên chính máy đó)」. Chuyển tiếp cổng chính là để làm việc này.

Giới thiệu chức năng

Với máy chủ có IP công cộng riêng, có thể thông qua tường lửa hệ thống (iptables/nftables) chuyển lưu lượng vào ở「một cổng công cộng」sang「IP đích:cổng đích」. Đây là chuyển tiếp cổng truyền thống, ở tầng hệ thống.

Khác biệt với Xuyên cổng (phân biệt trước khi dùng cái nào)

Trường hợp áp dụng

• Chuyển một cổng của IP công cộng máy chủ sang dịch vụ trên một máy chủ khác
• Ánh xạ cổng không chuẩn (như 8888) sang cổng dịch vụ chuẩn
• Để máy trong mạng nội bộ lộ dịch vụ ra ngoài thông qua máy có IP công cộng

Ví dụ

Bạn có một máy chủ công cộng 1.2.3.4, và một máy trong mạng nội bộ 192.168.1.100 đang chạy dịch vụ Web (cổng 80). Bạn muốn người bên ngoài truy cập 1.2.3.4:8888 cũng bằng truy cập cổng 80 của mạng nội bộ:

• Giao thức: TCP
• Cổng lắng nghe: 8888
• IP đích: 192.168.1.100
• Cổng đích: 80

Cách sử dụng

Vào「Bảng Quản lý hệ thống → Tường lửa → Chuyển tiếp cổng」của máy chủ đích có IP công cộng, mở「Quản lý chuyển tiếp cổng」:

1. Nhấn「Thêm chuyển tiếp」, điền:

• Giao thức: TCP / UDP
• Cổng lắng nghe: cổng vào từ mạng công cộng
• IP đích: địa chỉ thật của đích chuyển tiếp (IP công cộng hoặc IP nội bộ có thể định tuyến)
• Cổng đích: cổng của dịch vụ đích

2. Sau khi tạo, lưu lượng được chuyển tiếp ngay

3. Các chuyển tiếp đã tạo sẽ hiện dưới dạng danh sách, có thể chỉnh sửa hoặc xóa

Giải thích kỹ thuật (quy tắc chuyển tiếp)

Bảng điều khiển tự động cấu hình ba quy tắc trên máy chủ (lấy ví dụ TCP, lắng nghe 8888, đích 192.168.1.100:80):

1. DNAT: viết lại lưu lượng tới :8888 thành 192.168.1.100:80

2. Cho qua ở FORWARD: cho qua lưu lượng chiều đi/chiều về của chuyển tiếp

3. MASQUERADE: chuyển đổi địa chỉ nguồn, để gói hồi về quay lại đúng chỗ

> Hiểu đơn giản: DNAT là「đổi đích đến」, MASQUERADE là「đổi địa chỉ chiều về」, ba quy tắc phối hợp mới làm chuyển tiếp hoạt động trọn vẹn.

Lưu ý

1. Cần có IP công cộng riêng: chuyển tiếp cổng được làm ngay trên máy chủ đích, yêu cầu máy chủ này có IP công cộng riêng (lưu lượng thực tế đập vào nó).

2. Tường lửa cho qua: khi chuyển tiếp đến một máy chủ khác, máy chủ đích / tường lửa trung gian cần cho qua cổng đích.

3. Chỉnh sửa = xóa quy tắc cũ + tạo mới: quy tắc tường lửa hệ thống không hỗ trợ sửa tại chỗ, khi chỉnh sửa sẽ xóa quy tắc cũ trước rồi thêm quy tắc mới.

4. Bảng điều khiển tự động tương thích ba backend iptables-legacy / iptables / nftables, không cần chọn thủ công.