iptablesでアドレス変換したい

質問

初心者です。
iptablesの勉強中ですが、アドレスの変換がうまくできず行き詰っています。

下図のように Mannaka をはさんで隔離された実験環境をつくりました。ここでやりたいことは、とにかくどんなアクセスやプロセスでもいいので、Mannaka をはさんで

192.168.10.10 <--> 192.168.20.100
192.168.10.20 <--> 192.168.20.200

というアドレス変換を実現したいということです。実験なのでセキュリティは度外視し、とにかくつながることを優先しています。Server1とServer2ではWebサーバーが動いていて、Apacheのインストールページが表示されます。

(192.168.20.100)
Ｓｅｒｖｅｒ１――
　　　　　　　　　｜
　　　　　　　　　｜―(eth1)Ｍａｎｎａｋａ(eth0)―――ＰＣｓ(192.168.10.X)
　　　　　　　　　｜　(eth0=192.168.10.10)Mannaka IP
Ｓｅｒｖｅｒ２――　　(eth1=192.168.20.10)Mannaka IP
(192.168.20.200)　　　　　　　　　　---
　　　　　　　　　　　(eth0:1=192.168.10.100)Server1 IP
　　　　　　　　　　　(eth0:2=192.168.10.200)Server2 IP

iptablesの設定は下記のようにしました。

----------
----------
#!/bin/sh
service iptables restart
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A FORWARD -d 192.168.10.10 -s 0.0.0.0 -j ACCEPT
iptables -A FORWARD -d 0.0.0.0 -s 192.168.10.10 -j ACCEPT
iptables -A FORWARD -d 192.168.10.20 -s 0.0.0.0 -j ACCEPT
iptables -A FORWARD -d 0.0.0.0 -s 192.168.10.20 -j ACCEPT
iptables -t nat -A PREROUTING -d 192.168.10.10 -j DNAT --to 192.168.20.100
iptables -t nat -A PREROUTING -d 192.168.10.20 -j DNAT --to 192.168.20.200
iptables -t nat -A POSTROUTING -s 192.168.20.100 -j SNAT --to 192.168.10.10
iptables -t nat -A POSTROUTING -s 192.168.20.200 -j SNAT --to 192.168.10.20
----------
----------

意図としては、
192.168.10.10へのアクセスがServer1（実IP192.168.20.100）、
192.168.10.20へのアクセスがServer2（実IP192.168.20.200）
へと割り振られ、同じく
Server1（実IP192.168.20.100）からのアクセスが192.168.10.10、
Server2（実IP192.168.20.200）からのアクセスが192.168.10.20
へと割り振られる、ということなのですが、スクリプトを実行してもeth0側のPCからeth1側のサーバーにアクセスできません。eth1側からeth0側へのアクセスもできません。192.168.20.0内部でのPing送受信やWebサイト閲覧は自由にできますが、eth0側のPCから192.168.10.10と192.168.10.20にPingを送っても、Mannakaサーバーが応答してしまい意図した動きにはなっていません。Server1とServer2のWebサイトも閲覧できません。

環境は、Mannaka, Server1, Server2 がCentOS6、その他のPCはWindows7です。

これがなぜ意図したとおりに動かないのか、そしてどうすれば動くようになるのかをご教示いただけないでしょうか。

よろしくお願いします。

回答No.1

anmochi · ベストアンサー

一度IPアドレスを整理して貰えませんか。
Mannakaの、Server1側のアドレスが192.168.10.10なのか192.168.10.100なのか。
Mannakaの、Server2側のアドレスが192.168.10.20なのか192.168.10.200なのか。

仮にアドレスが以下だった（つまり100と200が正しい）として
(192.168.20.100)
Ｓｅｒｖｅｒ１――
　　　　　　　　　｜
　　　　　　　　　｜―(eth1)Ｍａｎｎａｋａ(eth0)―――ＰＣｓ(192.168.10.X)
　　　　　　　　　｜　(eth0=192.168.10.10)Mannaka IP
Ｓｅｒｖｅｒ２――　　(eth1=192.168.20.10)Mannaka IP
(192.168.20.200)　　　　　　　　　　---
　　　　　　　　　　　(eth0:1=192.168.10.100)Server1 IP
　　　　　　　　　　　(eth0:2=192.168.10.200)Server2 IP
スクリプトを以下のように直した時、
#!/bin/sh
service iptables restart
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -A PREROUTING -d 192.168.10.100 -j DNAT --to 192.168.20.100
iptables -t nat -A PREROUTING -d 192.168.10.200 -j DNAT --to 192.168.20.200
iptables -t nat -A POSTROUTING -s 192.168.20.100 -j SNAT --to 192.168.10.100
iptables -t nat -A POSTROUTING -s 192.168.20.200 -j SNAT --to 192.168.10.200
PCsからつながらなければその理由はおそらくServer1とServer2のルーティングテーブルだ。
なぜかと言うと、PCsは192.168.10.100や192.168.10.200と通信していると思っているが、
Server1とServer2はPCsと直接通信していると思っているからだ。
PCsで192.168.10.50っていうIPアドレスのパソコンQが192.168.10.100の80番にアクセスすると、
MannakaでDNATされてServer1に行くよね。
その時、Qは192.168.10.100-192.168.10.50間でやり取りしているように見えるけど、
Server1は192.168.20.100-192.168.10.50間でやり取りしているように見えている。
なので、192.168.10.0/24へのルートが分からないと通信ができない。

後、最終的にはFORWARDのポリシーをDROPにするつもりなのだろうけど、その場合は
iptables -A FORWARD -d 192.168.20.100 -j ACCEPT
iptables -A FORWARD -s 192.168.20.100 -j ACCEPT
iptables -A FORWARD -d 192.168.20.200 -j ACCEPT
iptables -A FORWARD -s 192.168.20.200 -j ACCEPT
とする。
PCsから行く方はFORWARDチェーンに入る段階では
先に通ったPREROUTINGチェーンでデスティネーションが192.168.10.100から192.168.20.100に書き換わっているからだ。
Server1から帰る方もFORWARDでフィルタされた後でPOSTROUTINGでソースが192.168.20.100から192.168.10.100に書き換わるので192.168.20.100の方を使う。
ただし、この場合PCsに192.168.20.100へのルーティングテーブルを追加されてping 192.168.20.100されると通っちゃうので注意。

お礼

ご回答ありがとうございます。とてもわかりやすくて、自分が見落としていたところがすぐにわかりました。記していただいた例とご指摘の点を修正したところ、無事意図したとおりの動きになりました。まだまだ先は長いので今後もここで質問させてもらうことになると思いますが、もし見かけたらぜひまたご指南ください。