Transfert de port simple

Je vais attribuer des adresses IP arbitraires pour que ce soit clair. Remplacez-les par vos adresses réelles.

node1 eth0 : 56.0.0.1 node1 eth1 : 10.0.0.1 node2 eth0 : 56.0.0.2 node2 eth1 : 10.0.0.2

Si le nœud 1 doit être votre machine de passerelle/pare-feu, vous devrez lancer l'opération suivante iptables pour gérer le NAT/forwarding.

# iptables config on node1
# set up a destination nat from 56.0.0.2 to 10.0.0.2
iptables -t nat -A PREROUTING -d 56.0.0.2 -j DNAT --to-destination 10.0.0.2
# open port 80/443
iptables -A INPUT -d 10.0.0.2 -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT 
iptables -A INPUT -d 10.0.0.2 -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
# related/established traffic
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 

Vous n'avez pas besoin que eth0 sur le noeud2 soit configuré. Vous devez plutôt configurer l'adresse IP 56.0.0.2 sur le noeud 1 pour l'utiliser de manière unique pour mapper le noeud 2.

Si le nœud 2 est censé avoir sa propre adresse IP, alors vous n'avez pas besoin de la redirection de port, vous avez besoin du proxy ARP et du routage.

Sur le nœud 2, désactivez eth0 et ajoutez l'IP publique à toute autre interface, par exemple :

ip addr add 56.0.0.2/32 dev eth1

Sur le noeud1, configurez la route vers le noeud2 via eth1 :

ip route add 56.0.0.2 dev eth1

et activez les réponses proxy ARP sur eth0 (ainsi node1 répondra aux requêtes ARP pour node2) :

echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp

Ainsi, tout le trafic vers le nœud 2 passera par le nœud 1. Vous pouvez ensuite configurer des règles iptables pour le limiter comme tout autre trafic transféré. Cela n'effectue pas de proxy au niveau de l'application, mais vous pouvez toujours le faire avec les règles iptables.

La définition de ces paramètres dépend généralement de la distribution, je ne connais pas assez Ubuntu, mais le paramètre 'proxy_arp' peut probablement être défini dans /etc/sysctl.conf :

net.ipv4.conf.eth0.proxy_arp = 1

L'adresse IP sur eth1 de node2 doit être ajoutée à la configuration de l'interface (mais sans masque de réseau ! ou avec une longueur de préfixe '/32'), il doit aussi y avoir un endroit pour mettre les routes statiques (/etc/sysconfig/static-routes sur mon système).