如何为不同VPN客户端配置不同公网IP的NAT地址转换

场景 #

ClientA和ClientB都通过VPN连接到ServerA

目标 #

ClientA通过ServerA访问互联网的所有流量都使用公网IP 192.0.2.1，ClientB则使用公网IP 192.0.2.2

当前配置 #

我这边的架构是一台服务器加四个客户端，希望所有流量都通过ServerA转发。各设备的VPN IP如下：

已尝试的规则 #

我通过iptables添加了以下规则：

iptables -t nat -A POSTROUTING -s 10.0.0.2/22 -o eth0 -j SNAT --to 192.0.2.1
iptables -t nat -A POSTROUTING -s 10.0.0.3/22 -o eth0 -j SNAT --to 192.0.2.2

但现在的问题是，两个客户端的流量都被转换成了192.0.2.1，并没有按照预期分别使用不同的公网IP。

嘿，我来帮你捋捋问题出在哪！

你设置的规则里，源地址用了/22子网掩码，这就踩坑啦！10.0.0.2/22的地址范围是10.0.0.0 到 10.0.3.255，ClientB的10.0.0.3完全包含在这个范围内。而iptables的规则是按顺序匹配的，只要第一条规则命中，就不会再执行后面的规则，所以两个客户端的流量都被第一条SNAT规则处理成192.0.2.1了。

解决办法 #

只需要把子网掩码改成/32（匹配单个IP）就行，具体操作如下：

步骤1：清理旧规则（可选但推荐）

先把之前错误的规则删掉，避免混淆：

iptables -t nat -D POSTROUTING -s 10.0.0.2/22 -o eth0 -j SNAT --to 192.0.2.1
iptables -t nat -D POSTROUTING -s 10.0.0.3/22 -o eth0 -j SNAT --to 192.0.2.2

步骤2：添加正确的规则

# 为ClientA指定专属公网IP
iptables -t nat -A POSTROUTING -s 10.0.0.2/32 -o eth0 -j SNAT --to 192.0.2.1
# 为ClientB指定专属公网IP
iptables -t nat -A POSTROUTING -s 10.0.0.3/32 -o eth0 -j SNAT --to 192.0.2.2

或者你也可以直接用--src指定单个IP，写法更直观，效果完全一样：

iptables -t nat -A POSTROUTING --src 10.0.0.2 -o eth0 -j SNAT --to 192.0.2.1
iptables -t nat -A POSTROUTING --src 10.0.0.3 -o eth0 -j SNAT --to 192.0.2.2

这样设置后，ClientA的流量会匹配第一条规则用192.0.2.1出站，ClientB的流量则匹配第二条规则用192.0.2.2，就能实现你想要的效果啦！

备注：内容来源于stack exchange，提问作者Kurogane