NAT 端口转发不起作用，而 ssh 隧道可以

Question

我有一个LXC容器apache2安装(容器侦听192.168.122.179：80(。

主机是 10.138.141.216。

如果我通过 ssh 隧道： ssh -L 45678：192.168.122.179：80 myuser@10.138.141.216 从我的电脑上，我得到了 apache2 页面(浏览器到 http://localhost:45678(

但是，如果我断开 ssh 隧道并仅使用 iptables http://10.138.141.216:45678 将无法正常工作：

[~]$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
9   564 DNAT       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:45678 to:192.168.122.179:80
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
0     0 RETURN     all  --  *      *       192.168.122.0/24     224.0.0.0/24
2   656 RETURN     all  --  *      *       192.168.122.0/24     255.255.255.255
606 36360 MASQUERADE  tcp  --  *      *       192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
0     0 MASQUERADE  udp  --  *      *       192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
725  101K MASQUERADE  all  --  *      *       192.168.122.0/24    !192.168.122.0/24

每当我在浏览器中刷新页面时，我都可以看到 pkts 和字节数发生变化，但我得到的只是"无法访问此站点"。

所以 ssh 隧道有效，而 iptables 规则不起作用...

更新：

使用 tcpdump 我可以看到"无法访问 tcp 端口 eba"，为什么???

14:46:40.672318 IP 10.79.41.37.57504 > mymachine.eba: Flags [S], seq 2646922897, win 8192, options [mss 1360,nop,wscale 8,nop,nop,sackOK,unknown-33 0x21cc167ee1203a070000], length 0
14:46:40.672402 IP mymachine > 10.79.41.37: ICMP mymachine tcp port eba unreachable, length 72

WGET http://192.168.122.179 在主机内部工作...

Answer 1

我不知道为什么，但默认情况下 LXC 添加了以下规则：

REJECT     all  --  *      virbr0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
REJECT     all  --  virbr0 *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

这些在使用时不可见

iptables -t any-L -n -v

删除"-t any"显示了它们。 删除这些规则起到了作用。

Answer 2

Apache 通常由主机配置。每个主机都监听来自特定域名的请求。

为了使您的主机可以访问，您需要侦听 IP 本身或主机名或在 Apache 主机配置中设置默认主机。

您可以使用 wget 或 curl 在本地主机上执行 get 请求来测试主机配置是否有效。

如果 Apache 有效，请确保没有任何冲突的 iptables 规则。