VyOS中SNAT与DNAT串联配置的实现方案咨询

嘿，我来帮你搞定这个VyOS里的NAT配置难题！你遇到的核心问题其实是VyOS默认的NAT处理顺序（DNAT优先于SNAT），导致SNAT规则没法匹配到原始的目的地址和端口对吧？别担心，咱们用VyOS原生支持的**连接标记（connection marking）**就能完美实现你要的效果，这可不是虚构的功能哦😉

核心思路 #

先通过防火墙的mangle表，在流量进入NAT处理之前，就根据原始的目的地址和端口给整个连接打上唯一的标记；之后不管是DNAT还是SNAT，都可以通过这个标记来关联规则，完全避开NAT顺序带来的匹配问题。

具体配置步骤 #

1. 配置mangle规则标记连接

这一步是关键，mangle表的PREROUTING链会在NAT处理之前执行，所以能精准抓到原始的流量特征，给连接打标记。假设你的两个场景是：

• 目标地址192.168.1.100:80的连接标记为conn-mark-1
• 目标地址192.168.1.101:80的连接标记为conn-mark-2

对应的配置命令：

# 标记第一个场景的连接
set firewall mangle rule 10 destination address '192.168.1.100'
set firewall mangle rule 10 destination port '80'
set firewall mangle rule 10 protocol 'tcp'
set firewall mangle rule 10 action 'mark-connection'
set firewall mangle rule 10 new-connection-mark 'conn-mark-1'

# 标记第二个场景的连接
set firewall mangle rule 20 destination address '192.168.1.101'
set firewall mangle rule 20 destination port '80'
set firewall mangle rule 20 protocol 'tcp'
set firewall mangle rule 20 action 'mark-connection'
set firewall mangle rule 20 new-connection-mark 'conn-mark-2'

2. 配置DNAT规则转发到通用目标

接下来配置DNAT，把匹配原始目的的流量转发到你指定的通用后端地址（比如10.0.0.10:8080）：

# 第一个场景的DNAT
set nat destination rule 89 destination address '192.168.1.100'
set nat destination rule 89 destination port '80'
set nat destination rule 89 protocol 'tcp'
set nat destination rule 89 translation address '10.0.0.10'
set nat destination rule 89 translation port '8080'

# 第二个场景的DNAT
set nat destination rule 90 destination address '192.168.1.101'
set nat destination rule 90 destination port '80'
set nat destination rule 90 protocol 'tcp'
set nat destination rule 90 translation address '10.0.0.10'
set nat destination rule 90 translation port '8080'

3. 配置SNAT规则匹配连接标记

最后配置SNAT，直接通过之前打的连接标记来匹配，就能精准对应到原始的流量场景，设置不同的源地址：

# 匹配conn-mark-1的连接，SNAT到10.0.0.20
set nat source rule 10 connection-mark 'conn-mark-1'
set nat source rule 10 translation address '10.0.0.20'

# 匹配conn-mark-2的连接，SNAT到10.0.0.21
set nat source rule 20 connection-mark 'conn-mark-2'
set nat source rule 20 translation address '10.0.0.21'

额外注意事项 #

• mangle规则的序号要尽量小（比如10、20），确保它在其他mangle规则之前执行，保证能先抓到原始流量。
• 连接标记是全连接生命周期有效的，后端服务器返回的反向流量也会自动继承这个标记，所以不需要额外配置反向NAT规则。
• 如果是UDP流量，只要把protocol字段改成udp，整个规则逻辑完全通用。

这样配置之后，不管NAT的处理顺序如何，咱们都能通过连接标记把DNAT和SNAT精准关联起来，完全实现你要的“不同原始目的对应不同SNAT源地址，同时DNAT到同一个后端”的需求！

备注：内容来源于stack exchange，提问作者Neil Stephens