本文探讨了一个端口转发的故障现象，即内网设备1通过WAN口2222访问内网设备2的5555端口时，数据包在DNAT操作后未能正确转发。问题在于内核桥接代码处理DNAT后的数据包时，没有将其传递到上层IP栈。当开启tcpdump抓包工具时，问题暂时解决。作者分析了内核源码`br_netfilter.c`中的`br_nf_pre_routing_finish`函数，并提出将条件判断语句注释掉以解决问题。该问题涉及网络路由、DNAT转换及内核桥接机制。
问题：
端口转发，内网设备2的端口5555绑定WAN端口2222。内网设备1访问WAN口端口2222，在桥上pre链执行了DNAT操作，但是数据包最终未转发到内网设备2的5555端口上。如果开启tcpdump抓包工具就正常转发，关闭后还是无法转发。
原因分析：
内核的桥代码在处理pre链上的数据包DNAT后，不会将数据包传到上层IP栈上，也就不会再过forward链。桥将DNAT后的数据包直接转发到设备2的5555端口上，此时数据包源地址IP是设备1。设备2处理完成后返回数据包的源地址是设备2目的地址是设备1，设备1收到数据包后发现数据包地址不对(设备1期望的是源地址是WAN口IP地址目的地址是设备1)，设备1丢掉返回的数据包。
修改：
br_netfilter.c
static int br_nf_pre_routing_finish(struct sk_buff *skb)
if (skb_dst(skb)->dev == dev) {
修改为如下
if (0) {//(skb_dst(skb)->dev == dev) {
扫一扫
891
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
