Het doel van IP Masquerading is om machines met privé, niet-routeerbare IP-adressen op uw netwerk toegang te geven tot het internet via de machine die de maskerade doet. Verkeer van uw privé-netwerk dat bestemd is voor internet moet worden gemanipuleerd om antwoorden terug te kunnen sturen naar de machine die de aanvraag heeft gedaan. Om dit te doen, moet de kernel de bron IP-adres van elk pakket, zodat antwoorden naar het adres worden gerouteerd, in plaats van naar het privé-IP-adres dat de aanvraag heeft gedaan, wat onmogelijk is via internet. Linux gebruikt Connection Tracking (conntrack) om bij te houden welke verbindingen bij welke machines horen en dienovereenkomstig elk retourpakket omleiden. Verkeer dat uw privénetwerk verlaat, wordt dus "vermomd" als afkomstig van uw Ubuntu-gatewaymachine. Dit proces wordt in de Microsoft-documentatie aangeduid als Internet-verbinding delen.
Instructies voor IP Masquerading
Dit kan worden bereikt met een enkele iptables-regel, die op basis van uw netwerkconfiguratie enigszins kan verschillen:
sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADE
De bovenstaande opdracht gaat er van uit dat uw privé-adresruimte 192.168.0.0/16 is en dat uw internet-gerichte apparaat ppp0 is. De syntaxis wordt als volgt opgesplitst:
- -t nat - de regel is om naar de nationale tafel te gaan
- -A POSTROUTING - de regel moet worden toegevoegd (-A) aan de POSTROUTING-keten
- -s 192.168.0.0/16 - de regel is van toepassing op verkeer afkomstig van de opgegeven adresruimte
- -o ppp0 - de regel is van toepassing op verkeer dat gepland is om door het gespecificeerde netwerkapparaat gerouteerd te worden
- -j MASQUERADE - verkeer dat aan deze regel voldoet, is om naar het MASQUERADE-doel te "springen" (-j) om te worden gemanipuleerd zoals hierboven beschreven
Elke keten in de filtertabel (de standaardtabel en waar de meeste of alle pakketfilters plaatsvinden) heeft een standaardwaarde het beleid van ACCEPT, maar als u naast een gatewayapparaat een firewall maakt, hebt u mogelijk het beleid ingesteld op DROP of REJECT, in welk geval uw vermomde verkeer moet worden toegestaan via de FORWARD-keten om de bovenstaande regel te laten werken:
sudo iptables -A FORWARD -s 192.168.0.0/16 -o ppp0 -j ACCEPT sudo iptables -A FORWARD -d 192.168.0.0/16 -m state --state ESTABLISHED, RELATED -i ppp0 -j ACCEPT
Met de bovenstaande opdrachten kunnen alle verbindingen van uw lokale netwerk met internet en alle verkeer met betrekking tot die verbindingen terugkeren naar de computer waarmee ze zijn gestart.
* Licentie
* Ubuntu Server Guide-index
