基于nftables的TCP连接拦截转发方案咨询与原目标IP获取问题

场景与背景 #

• 网络拓扑：机器A的client进程需与同局域网内机器B的server进程（监听端口Z）进行TCP通信；需通过机器A的interceptor A（监听端口X）、机器B的interceptor B（监听端口Y）双向拦截并处理数据；client与server需认为是直接通信，实际跨机连接由两个拦截进程负责。
• 运行环境：所有设备为运行Raspberry Pi OS（Linux内核5.15）的树莓派；优先语言无关方案，实际用C语言开发；IP静态分配；网络中存在多台同类通信设备；所有进程需运行在用户态。
• 初步方案：
  1. 在机器A上用nftables修改目的IP/端口，将client发往server的数据包重定向到interceptor A；
  2. interceptor A处理数据后连接interceptor B；
  3. 在机器B上用nftables修改源IP/端口，使server认为连接来自client。

问题解答 #

1. 使用nftables配置NAT规则是否为合适方案？ #

完全合适，NAT的本质是修改IP数据包的源/目的地址或端口字段，和常规私网转公网的场景只是方向不同，核心逻辑一致：

• 机器A上的操作属于端口重定向（DNAT的一种特殊形式）：用nftables的redirect规则就能把client发往B:Z的流量直接转到本地interceptor A监听的X端口，内核态处理效率高，适合多设备批量配置。
• 机器B上的操作属于源地址转换（SNAT）：把interceptor B发往server的流量源IP/端口替换成client的信息，让server误以为是直接来自client，这是NAT的标准用法，没有技术障碍。
• 额外优势：nftables是Linux原生工具，语言无关，配置可持久化，能适配多设备场景，且内核态转发性能远优于纯用户态代理，不会成为流量瓶颈。

2. interceptor A如何获取client原本要通信的目标IP？ #

推荐用Linux内核提供的原生能力，简单可靠：

• 调用getsockopt获取原始目标地址：当interceptor A通过nftables重定向接收到连接时，在C语言中可以调用getsockopt(fd, SOL_IP, SO_ORIGINAL_DST, &saddr, &len)（针对IPv4）或SOL_IPV6对应的选项（针对IPv6），直接从内核读取client原本要连接的目标IP和端口（即B:Z）。
  • 实现时需要包含<sys/socket.h>、<netinet/in.h>等头文件，通过sockaddr_in结构解析获取到的地址信息。
• 备选方案：如果需要更灵活的控制，可以在nftables规则中给被重定向的数据包添加自定义标记，或者将原始目标地址写入内核日志，再由interceptor A读取日志或通过netlink获取对应信息，但这种方式复杂度更高，优先推荐前者。

内容的提问来源于stack exchange，提问作者ClausWorks