У меня есть контейнер LXC (10.0.3.2) работает на хосте. Сервис работает внутри контейнера на порту 7000.
От хозяина (10.0.3.1, lxcbr0), Я могу связаться с сервисом:
$ telnet 10.0.3.2 7000
Trying 10.0.3.2...
Connected to 10.0.3.2.
Escape character is '^]'.
Я бы хотел сделать сервис, работающий внутри контейнера, доступным для внешнего мира. Поэтому хочу пробросить порт 7002 на хосте в порт 7000 на контейнере:
iptables -t nat -A PREROUTING -p tcp --dport 7002 -j DNAT --to 10.0.3.2:7000
В результате получается (iptables -t nat -L):
DNAT tcp -- anywhere anywhere tcp dpt:afs3-prserver to:10.0.3.2:7000
Тем не менее, я не могу получить доступ к службе с хоста, используя перенаправленный порт:
$ telnet 10.0.3.1 7002
Trying 10.0.3.1...
telnet: Unable to connect to remote host: Connection refused
Я чувствую, что упускаю здесь что-то глупое. Что я должен проверить? Какая хорошая стратегия для отладки таких ситуаций?
Для полноты картины вот как iptables установлены на хосте:
iptables -F
iptables -F -t nat
iptables -F -t mangle
iptables -X
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o lxcbr0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp --dport 7002 -j DNAT --to 10.0.3.2:7000
Похоже, вы заблокировали порт 7002 на 10.0.3.1, поскольку ваша политика по умолчанию - DROP
Попробуйте добавить его в правила INPUT:
iptables -A INPUT -p tcp --dport 7002 -j ACCEPT
Я столкнулся с той же проблемой. Я пока не нашел решения, но ниже отмечу некоторые наблюдения.
У меня есть хозяин ${host} машина (Ubuntu 12.04) и запускает гостевую машину через LXC. Гость включен IP 10.0.3.248 и шлюз 10.0.3.1. Я запускаю веб-сервер в гостевой системе и хочу перенаправить трафик из ${host}:8888 к 10.0.3.248:80. Ниже приведены соответствующие записи iptables:
-A PREROUTING -p tcp --dport 8888 -j DNAT --to-destination 10.0.3.248:80
-A POSTROUTING -j MASQUERADE
С текущей конфигурацией я могу успешно посетить веб-сервер 10.0.3.248:80 с другого физического компьютера. Однако это не удается, когда я пытаюсь зайти на 10.0.3.248:80 из ${host}. Возможно, вы можете попробовать посетить эту службу внутри LXC с другой машины.
Насколько я понимаю, когда я приезжаю из ${host}, пакет проходит через интерфейс обратной связи и напрямую попадает в цепочку INPUT. Хотя я разрешаю все на INPUT, служба не прослушивает ${host}:8888. От wirehark я вижу, что RST отправлен. Когда я захожу с другой физической машины, пакет переходит в цепочку PREROUTING и, как и ожидалось, был назначен DNAT.
Один связанный пост:
Мне нужно было добавить правило FORWARD
iptables -A FORWARD -p tcp -d 10.0.3.2 --dport 7002 -j ACCEPT
хорошо, мои 5 центов за 2018 год:
Я установил LXC и поигрался с ним. Мой IP-адрес контейнера 10.0.0.10
Я добавил это правило:
iptables -t nat -A PREROUTING -p tcp -i ens192 --dport 81 -j DNAT --to-destination 10.0.0.10:22
Не сработало. Потом я понял, что даже политика FORWARD - ACCEPT, есть правило, которое блокирует все FORWARD.
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- * virbr0 0.0.0.0/0 10.0.0.0/24 ctstate RELATED,ESTABLISHED
0 0 ACCEPT all -- virbr0 * 10.0.0.0/24 0.0.0.0/0
0 0 ACCEPT all -- virbr0 virbr0 0.0.0.0/0 0.0.0.0/0
5 268 REJECT all -- * virbr0 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
0 0 REJECT all -- virbr0 * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Поэтому мне пришлось добавить правило вверху:
iptables -I FORWARD -p tcp -d 10.0.0.10 --dport 22 -j ACCEPT
Теперь вперед host:81 -> 10.0.0.10:22 работает.
Ваш контейнер доступен из локальной сети через интерфейс хост-моста и, таким образом, подключен к той же подсети, что и хост.
Маршрутизатор должен перенаправить эти порты в контейнер.