înregistrare Logare
Puncte:0
avatar Server

Destinație NAT în aceeași rețea în AWS folosind IPTables

drapel us
Astron

În AWS avem 3 instanțe în aceeași subrețea/VPC. Am dori ca instanța client să facă o solicitare DNS către oa doua instanță de analiză, care va trimite apoi solicitarea către o a treia instanță care rulează un serviciu DNS. Serviciul DNS ar trebui apoi să ofere un răspuns instanței de analiză, care ar trebui să răspundă apoi clientului.

Scopul este ca instanța de analiză să poată intercepta traficul dintre client și instanțele DNS în scopuri de analiză.

Instanță client -> Instanță de analiză (NAT) -> Instanță DNS

Configurația actuală permite instanței Client să trimită o solicitare DNS prin instanța de analiză către instanța DNS. Instanța DNS răspunde la instanța de analiză per tcpdump dar instanța Client nu primește niciodată un răspuns de la instanța Analiză.

Avem dezactivate verificări sursă/destinație în AWS pentru instanța de analiză care efectuează NAT.

Am activat mai întâi redirecționarea pe instanța de analiză:

sudo sysctl -w net.ipv4.ip_forward=1

Apoi adăugăm următoarele reguli IPTables la instanța de analiză

sudo iptables -A FORWARD -p udp --dport 53 -d 192.168.1.151 -j ACCEPT
sudo iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination 192.168.1.151
sudo iptables -t nat -A POSTROUTING -d 192.168.1.151 -s 192.168.1.156 -p udp --dport 53 -j SNAT --to 192.168.1.213

Alte POSTOUTARE au fost încercate și reguli precum următoarele

sudo iptables -t nat -A POSTROUTING -j MASQUERADE
sudo iptables -t nat -A POSTROUTING -p udp -d 192.168.1.151 --dport 53 -j SNAT --to-source 192.168.1.213
sudo iptables -t nat -A POSTROUTING -p udp -d 192.168.1.151 --dport 53 -j MASQUERADE

Toate cu același rezultat, instanța client nu primește niciodată un răspuns DNS. Gânduri despre ce ar putea împiedica instanța de analiză să returneze un răspuns?

105
0 + 0
drapel us
Astron
Grupurile de securitate AWS nu oferă NAT sau Redirecționare.
0
Răspunde
drapel us
Astron
Apreciez feedback-ul, va clarifica întrebarea.
0
Răspunde
Tim avatar
drapel gp
Tim
Sunt curios de ce folosești această arhitectură. Pare cu adevărat neobișnuit, dacă ai explicat ceea ce încerci să obții, s-ar putea să obții ajutor de ansamblu, dar poate că este doar o sarcină de lucru neobișnuită.Nu te pot ajuta cu detalii, scuze. Ștergerea comentariilor anterioare ca nu mai este utilă.
0
Răspunde
drapel us
Astron
Mi-am dat seama ce lipsește și voi răspunde la întrebare. Va actualiza întrebarea și pentru context.
0
Răspunde
Puncte:1
avatar Server
drapel us
Astron

Problema a fost că lanțul FORWARD nu permitea traficul de întoarcere, așa că era necesară următoarea regulă:

sudo iptables -A FORWARD -m stare --state RELATED,STABLISHED -j ACCEPT

Soluția completă arată astfel:

sudo iptables -A FORWARD -p udp --dport 53 -d 192.168.1.151 -j ACCEPT
sudo iptables -A FORWARD -m stare --state RELATED,STABLISHED -j ACCEPT
sudo iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination 192.168.1.151
sudo iptables -t nat -A POSTROUTING -p udp --dport 53 -j SNAT --la 192.168.1.213
0 + 0
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.