はじめに
- VyOSでNAT設定やろうとした時にはまった点のメモ
環境構成
- 環境概要は以下の通り
VyOSのNIC設定
| NIC | IPアドレス |
|---|---|
| eth0 | 10.10.10.1 |
| eth1 | 192.168.179.1 |
| eth2 | 128.7.56.1 |
検証環境のマシン
| 名称 | IPアドレス | デフォルトGW |
|---|---|---|
| マシン① | 10.10.10.100 | 10.10.10.1 |
| マシン② | 192.168.179.100 | 192.168.179.1 |
構成図
やりたいこと
- 「128.7.56.1:80」にアクセスした時、「10.10.10.100:80」に転送されるようにしたい
DNAT設定
- VyOS側にて以下設定を実施
- rule1はeth0で受付したリクエストの転送
- rule2はeth1で受付したリクエストの転送
set nat destination rule 1 destination address 128.7.56.1
set nat destination rule 1 destination port 80
set nat destination rule 1 inbound-interface eth0
set nat destination rule 1 protocol tcp
set nat destination rule 1 translation address 10.10.10.100
set nat destination rule 1 translation port 80
set nat destination rule 2 destination address 128.7.56.1
set nat destination rule 2 destination port 80
set nat destination rule 2 inbound-interface eth1
set nat destination rule 2 protocol tcp
set nat destination rule 2 translation address 10.10.10.100
set nat destination rule 2 translation port 80
DNAT設定後の疎通結果
- マシン①から「128.7.56.1:80」にアクセスしても、「10.10.10.100:80」には転送されずエラーとなる
- マシン②からの疎通は問題なし
| マシン名 | 疎通結果 |
|---|---|
| マシン① | ○ |
| マシン② | × |
マシン①の疎通結果がNGだった理由
- SNAT変換がされていないため、マシン①への戻りパケットのsource IPアドレスが「10.10.10.100」のままになっている
- source IPアドレスが「10.10.10.100」のため、マシン①はdestination IPアドレスに「10.10.10.100」を設定して自分自身に対し通信を行なおうとするが、最初のSYNパケットのdestination IPアドレスは「128.7.56.1」であるため齟齬が発生しTCPコネクションを確立できずエラーとなる
解決方法
- SNAT設定を入れて、送信元が同一セグメント内からの場合も別セグメントからアクセスが来たように見せかける
- VyOSを経由してくれればNAT変換後のIPアドレスでいい感じに通信してくれる
- translation addressは10.10.10.0とは別セグメントで使えるやつなら多分なんでもいいはず
- outbound-interfaceはsource addressのデフォルトGWとなっているNICを指定する
set nat source rule 1000 source address '10.10.10.0/24'
set nat source rule 1000 translation address 128.7.56.1
set nat source rule 1000 outbound-interface eth0
まとめ
- DNAT設定時、同一セグメント（同一アドレス含む）からもアクセスがある場合はSNAT設定も忘れずにやる