はじめに

• VyOSでNAT設定やろうとした時にはまった点のメモ

環境構成

• 環境概要は以下の通り

VyOSのNIC設定

検証環境のマシン

構成図

やりたいこと

• 「128.7.56.1:80」にアクセスした時、「10.10.10.100:80」に転送されるようにしたい

DNAT設定

• VyOS側にて以下設定を実施
  • rule1はeth0で受付したリクエストの転送
  • rule2はeth1で受付したリクエストの転送

set nat destination rule 1 destination address 128.7.56.1
set nat destination rule 1 destination port 80
set nat destination rule 1 inbound-interface eth0
set nat destination rule 1 protocol tcp
set nat destination rule 1 translation address 10.10.10.100
set nat destination rule 1 translation port 80

set nat destination rule 2 destination address 128.7.56.1
set nat destination rule 2 destination port 80
set nat destination rule 2 inbound-interface eth1
set nat destination rule 2 protocol tcp
set nat destination rule 2 translation address 10.10.10.100
set nat destination rule 2 translation port 80

DNAT設定後の疎通結果

• マシン①から「128.7.56.1:80」にアクセスしても、「10.10.10.100:80」には転送されずエラーとなる
• マシン②からの疎通は問題なし

マシン①の疎通結果がNGだった理由

• SNAT変換がされていないため、マシン①への戻りパケットのsource IPアドレスが「10.10.10.100」のままになっている
• source IPアドレスが「10.10.10.100」のため、マシン①はdestination IPアドレスに「10.10.10.100」を設定して自分自身に対し通信を行なおうとするが、最初のSYNパケットのdestination IPアドレスは「128.7.56.1」であるため齟齬が発生しTCPコネクションを確立できずエラーとなる

解決方法

• SNAT設定を入れて、送信元が同一セグメント内からの場合も別セグメントからアクセスが来たように見せかける
• VyOSを経由してくれればNAT変換後のIPアドレスでいい感じに通信してくれる
• translation addressは10.10.10.0とは別セグメントで使えるやつなら多分なんでもいいはず
• outbound-interfaceはsource addressのデフォルトGWとなっているNICを指定する

set nat source rule 1000 source address '10.10.10.0/24'
set nat source rule 1000 translation address 128.7.56.1
set nat source rule 1000 outbound-interface eth0

まとめ

• DNAT設定時、同一セグメント（同一アドレス含む）からもアクセスがある場合はSNAT設定も忘れずにやる