Как настроить редирект с nftables на Debian

Чтобы настроить редирект с вашего сервера на другой сайт с помощью nftables, вам нужно использовать правила DNAT (Destination Network Address Translation) с правильной конфигурацией, которая включает как prerouting, так и postrouting цепи. Кроме того, потребуется выполнить дополнительные системные настройки для корректной работы перенаправления трафика.

Содержание

• Основные принципы работы nftables с редиректом
• Правильная конфигурация для редиректа на внешний сайт
• Необходимые системные настройки
• Полный пример конфигурации
• Решение распространенных проблем

Основные принципы работы nftables с редиректом

nftables предоставляет несколько способов перенаправления трафика, и для редиректа на внешний сайт вам нужно понимать разницу между ними:

• redirect - это специальный случай DNAT, который всегда перенаправляет трафик на локальную машину
• dnat to - используется для перенаправления трафика на внешний IP-адрес и порт, что вам и нужно

Как объясняется в официальной документации nftables, redirect является частным случаем DNAT, где назначение трафика - текущая машина. Для перенаправления на внешний сайт вам требуется использовать dnat to.

Правильная конфигурация для редиректа на внешний сайт

Ваша текущая конфигурация:

nft add rule ip nat prerouting iifname eth0 tcp dport 80 counter dnat to 92.122.110.37:80

имеет несколько проблем:

1. Вы используете порт 80, но у вас настроен xray-vless на порту 443
2. Отсутствует необходимая postrouting цепь для маскировки исходящего трафика
3. Требуется включить параметр route_localnet

Правильная конфигурация должна выглядеть так:

# Создаем таблицу и цепи NAT
nft add table ip nat
nft add chain ip nat prerouting { type nat hook prerouting priority dstnat; policy accept; }
nft add chain ip nat postrouting { type nat hook postrouting priority srcnat; policy accept; }

# Добавляем правило DNAT для перенаправления трафика
nft add rule ip nat prerouting tcp dport 443 dnat to 92.122.110.37:443
nft add rule ip nat postrouting ip saddr 192.168.1.0/24 masquerade

Необходимые системные настройки

Для корректной работы DNAT с nftables требуются дополнительные системные настройки:

1. Включите перенаправление пакетов:

sysctl -w net.ipv4.ip_forward=1

2. Разрешите маршрутизацию локального трафика:

sysctl -w net.ipv4.conf.eth0.route_localnet=1

3. Сохраните настройки для перезагрузки:

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
echo 'net.ipv4.conf.eth0.route_localnet=1' >> /etc/sysctl.conf
sysctl -p

Как показывают примеры на Red Hat Documentation, эти настройки критически важны для работы правил NAT.

Полный пример конфигурации

Вот полный пример конфигурации для перенаправления трафика с порта 443 вашего сервера на www.microsoft.com:

# Очищаем существующие правила
nft flush ruleset

# Создаем таблицу NAT
nft add table ip nat

# Создаем цепи для prerouting и postrouting
nft add chain ip nat prerouting { type nat hook prerouting priority dstnat; policy accept; }
nft add chain ip nat postrouting { type nat hook postrouting priority srcnat; policy accept; }

# Добавляем правило DNAT для перенаправления трафика на порт 443
nft add rule ip nat prerouting tcp dport 443 dnat to 92.122.110.37:443

# Добавляем правило masquerade для исходящего трафика
nft add rule ip nat postrouting masquerade

# Опционально: добавляем логирование для отладки
nft add rule ip nat prerouting tcp dport 443 counter log prefix "DNAT_TO_MS: "

Решение распространенных проблем

Если редирект не работает, проверьте следующее:

1. Проверьте конфигурацию xray-vless: Убедитесь, что xray-vless не блокирует перенаправленный трафик

2. Проверьте правила файрвола: Убедитесь, что разрешен входящий трафик на порт 443:

nft add table ip filter
nft add chain ip filter input { type filter hook input priority filter; policy accept; }
nft add rule ip filter input tcp dport 443 accept

3. Проверьте доступность целевого сайта: Убедитесь, что IP-адрес 92.122.110.37 корректный и доступный

4. Проверьте системные журналы: Посмотрите логи для диагностики проблем:

journalctl -u nftables

5. Используйте tcpdump для анализа: Для отладки используйте tcpdump для просмотра трафика:

tcpdump -i eth0 tcp port 443

Как показывают примеры на Server Fault, правильная настройка route_localnet и использование dnat to вместо простого redirect являются ключевыми факторами успеха.

Источники

1. Performing Network Address Translation (NAT) - nftables wiki
2. Forward a TCP port to another IP or port using NAT with nftables
3. Configuring NAT using nftables - Red Hat Documentation
4. How to redirect requests on port 80 to localhost:3000 using nftables? - Server Fault
5. Local IP port redirection using Linux nftables

Заключение

• Для редиректа на внешний сайт используйте dnat to вместо redirect
• Правильная конфигурация требует как prerouting, так и postrouting цепей
• Обязательно включите net.ipv4.ip_forward=1 и net.ipv4.conf.eth0.route_localnet=1
• Для перенаправления трафика с порта 443 настройте правила для этого порта, а не 80
• Проверяйте логи и используйте tcpdump для диагностики проблем
• Убедитесь, что xray-vless не конфликтует с правилами nftables

Следуя этим шагам, вы сможете успешно настроить редирект с вашего сервера на другой сайт с помощью nftables.