nftables中的snat怎么了？

Question

我有两个虚拟机(服务器，客户端)与有线vpn。当我尝试平平来自客户端包的任何IPv6资源时，都不会返回到客户端。

Tcpdump向我展示了enp0s3接口(服务器)中的ICMP应答包，而不是wg0 (服务器上的vpn接口)。但是，如果禁用nftable并启动ip6tables，则所有操作都正常。在这一步之后，我禁用ip6tables并启用nftable..。一切都在继续..。

软件版本：

NixOS: 17.09.git.ebaff59 (Hummingbird)
WireGuard: 0.0.20170706
Nftables: 0.7

使用下面的命令构建ISO映像：

服务器：

nix-build -A config.system.build.isoImage -I nixos-config=./wireguard_server_10.nix ./nixpkgs/nixos/default.nix

客户端：

nix-build -A config.system.build.isoImage -I nixos-config=./wireguard_client_20.nix ./nixpkgs/nixos/default.nix

在这里，无文件：

• https://gist.github.com/MrSorcus/d6d8b8b6acff715368844a643775c980

使用下面的命令创建虚拟机：

服务器：

virt-install \
--name NixOSVS10 \
--ram 1024 \
--vcpus 1 \
--cdrom /tmp/nixos_10.iso \
--os-type linux \
--nodisk \
--network bridge=br0 \
--graphics vnc,password="ABCDEF",port=5910,listen=2a01:4f8:xx:xx::13 \
--autostart \
--noautoconsole

客户端：

virt-install \
--name NixOSVS20 \
--ram 1024 \
--vcpus 1 \
--cdrom /tmp/nixos_20.iso \
--os-type linux \
--nodisk \
--network bridge=br0 \
--graphics vnc,password="ABCDEF",port=5920,listen=2a01:4f8:xx:xx::13 \
--autostart \
--noautoconsole

“联合国规则”：

服务器：

• https://gist.github.com/MrSorcus/17827298ad81970cc272b9e7f779923f

客户端：

• https://gist.github.com/MrSorcus/ad05f19759e02f92aac5d9c246f56cf6

输出ip a，IP-6路由，路由-6，wg，sysctl -a，dmesg，lsmod.

服务器：

• https://gist.github.com/MrSorcus/1a8c9f5aacf8957502299d707a38c5fc

客户端：

• https://gist.github.com/MrSorcus/b7dc077249ca513ca8f307a68c62d1ce

从客户端转储日志。Ping IPv6地址2001:19f0:7400:87a2::64 (https://ipv6.net/)

• https://gist.github.com/MrSorcus/03e716fba67c4119772012777847c569

来自/proc/net/nf_conntrack的输出：

与nftable：

• https://gist.github.com/MrSorcus/601170680ff644c52a11e5352997879a

使用ip6tables：

• https://gist.github.com/MrSorcus/e043101f98e787c8cbf6d0605fd9de7e

在nftable中，Snat不能正常工作。但是，在接下来的步骤之后工作：

[root@nixos:~]# systemctl stop nftables
[root@nixos:~]# ip6tables -t nat -A POSTROUTING -o enp0s3 -j SNAT --to-source 2a01:4f8:xx:xx::10

Answer 1

解决了。http://marc.info/?l=netfilter-devel&m=150027256708621&w=2

您可能缺少应答NAT链，这需要注册。https://wiki.nftables.org/wiki-nftables/index.php/Performing_网络_地址_翻译_(NAT)，我现在正在更新wiki，用粗体表示。