iptables学习笔记：同一端口号同时支持tcp和udp的转发

GNU/Linux系统 722 字 次

前段时间，某项目中遇到一个端口转发问题，虽然我无缘参与项目，但由于项目使用到的一个平台恰好是我前不久搞过的，所以最终还是找我，于是中断了正在进行的任务进行协助。他们定位到只有udp无法转发成功，而tcp是成功的。我看了代码，里面只针对tcp进行转发的。因此，需要对该端口同时支持tcp和udp转发。下面记录一下转发命令。

原先的端口转发的命令如下(172.18.18.18的端口100，转发到100.10.10.168的80端口)：

1
2
3
4
iptables -t nat -A PREROUTING -d 172.18.18.188 -p tcp --dport 100 -j DNAT --to-destination 100.100.100.168:80  
iptables -t nat -A POSTROUTING -d 100.100.100.168 -p tcp --dport 80 -j SNAT --to 172.18.18.188  
iptables -A FORWARD -o eth0 -d 100.100.100.168 -p tcp --dport 80 -j ACCEPT  
iptables -A FORWARD -i eth0 -s 100.100.100.168 -p tcp --sport 80 -j ACCEPT

上述命令只是针对tcp协议进行转发，下面是修改后的命令，同时支持tcp和udp：

1
2
3
4
5
6
7
8
iptables -t nat -A PREROUTING -d 172.18.18.18 -p udp --dport 100 -j DNAT --to-destination 100.10.10.168:80
iptables -t nat -A POSTROUTING -s 100.10.10.168 -p udp --dport 80 -j SNAT --to-source 172.18.18.18:100
iptables -A FORWARD -o eth0 -d 100.10.10.168 -p udp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -s 100.10.10.168 -p udp --sport 80 -j ACCEPT
iptables -t nat -A PREROUTING -d 172.18.18.18 -p tcp --dport 100 -j DNAT --to-destination 100.10.10.168:80
iptables -t nat -A POSTROUTING -s 100.10.10.168 -p tcp --dport 80 -j SNAT --to-source 172.18.18.18:100
iptables -A FORWARD -o eth0 -d 100.10.10.168 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -s 100.10.10.168 -p tcp --sport 80 -j ACCEPT

对比发现，只是改了POSTROUTING链，将“-d”改为“-s”，然后将“-to”改为“–to-source”，其它不变，但却能同时进行tcp和udp转发。原理方面还有待继续学习。
如果要删除转发命令，使用下面的命令：

1
2
3
4
5
6
7
8
iptables -t nat -D PREROUTING -d 172.18.18.18 -p udp --dport 100 -j DNAT --to-destination 100.10.10.168:80
iptables -t nat -D POSTROUTING -s 100.10.10.168 -p udp --dport 80 -j SNAT --to-source 172.18.18.18:100
iptables -D FORWARD -o eth0 -d 100.10.10.168 -p udp --dport 80 -j ACCEPT
iptables -D FORWARD -i eth0 -s 100.10.10.168 -p udp --sport 80 -j ACCEPT
iptables -t nat -D PREROUTING -d 172.18.18.18 -p tcp --dport 100 -j DNAT --to-destination 100.10.10.168:80
iptables -t nat -D POSTROUTING -s 100.10.10.168 -p tcp --dport 80 -j SNAT --to-source 172.18.18.18:100
iptables -D FORWARD -o eth0 -d 100.10.10.168 -p tcp --dport 80 -j ACCEPT
iptables -D FORWARD -i eth0 -s 100.10.10.168 -p tcp --sport 80 -j ACCEPT

注：
1、参考原来的命令，将tcp换成udp，无法转发，失败。
2、指定端口时，必须要用-p指定传输协议，如果不指定会有语法错误。-p只能同时指定一种协议，不能使用“-p udp,tcp”或“-p all”，这些格式同样有语法错误。

李迟 2016.01.13 周三调休