求一个 openwrt 的 iptables 规则

[simplove]

有多台网络设备想通过 zerotier 组网，要求能够过 upd 的广播包。 试了以下两种方案。

方案一是直接在两台电脑上面安装 zerotier 客户端，一台电脑发包，另外一台电脑抓包，实测可以收到 udp 包。

方案二是直接在 openwrt 上用插件组网，电脑删除客户端，测试收不到 udp 包。 测试的 upd 抓包如下： 方案一可行那说明 zerotier.com 上面的设置是 OK 的。

方案二过了 oepwnrt 路由器，那说明应该是 openwrt 导致的问题，在网上找了很多转发广播包的贴子，试了很多次发现都不行。

有没有大佬给解个惑,谢谢

[Tyanboot]

方案二需要 zt 开启桥接功能吧。

[Aixiaoa]

看看 op 的防火墙设置

[simplove]

@Aixiaoa #iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
[ -n "$(command -v ip6tables)" ] && ip6tables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
[ -n "$(command -v ip6tables)" ] && ip6tables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
只有默认的，试过了很多规则发现都不行。

[simplove]

@Tyanboot 桥接那个勾很早就打上了，就是不行。
PC1 直接 ping PC2 是没问题的。

[cinhoo]

iptables -I FORWARD -i ztxxxxxxxx -j ACCEPT
iptables -I FORWARD -o ztxxxxxxxx -j ACCEPT
iptables -t nat -I POSTROUTING -o ztxxxxxxxx -j MASQUERADE

[Aixiaoa]

@simplove 你有试过关闭 firewall 么 或者更改过接口的 multicast_snooping 配置么

[hbytw1]

需要在 zerotier 控制端做路由。
10.10.10.0/24 192.168.99.3
192.168.1.0/24 192.168.99.1
0.0.0.0/0 192.168.99.1
192.168.3.0/24 192.168.99.3
192.168.8.0/24 192.168.99.3
指定访问那个 ip 段扔给那个 openwrt

[simplove]

@Aixiaoa 
防火墙关闭了还是不行。
在 openwrt 的实时连接里面可以看到能收到包，就是怎么样能把它转发给电脑是个问题

[simplove]

@yuantianwei 路由是有做的，不然 PC1 也不能 ping 通 PC2 了

[Aixiaoa]

@simplove 嗯 我知道你的 op 肯定可以收到广播包
现在的问题实际上就在于 op 似乎默认把你的广播包给丢了 没有传给你 op 下面的设备
如果你可以在 op 上抓包的话 我希望你能看下这个包在哪里被丢弃的 我需要更多的信息

[JohnSmith]

抓包看看是不是 mss 的问题 我之前也才过坑

[Aixiaoa]

@simplove 正常来讲 广播包跨域默认丢弃的 所以你内网直接发和在 pc 上直接跑 zerotier 都是正常的 但是过了 op 就是不同的广播域 你现在应该看下是在 op 的哪里丢掉的 不过希望应该不大
是否可以把你的 broadcast 转换成 multicast 呢？

[Aixiaoa]

https://odi.ch/weblog/posting.php?posting=731

[simplove]

@Aixiaoa 用 Wireshark 抓了下 openwrt 上的包。
plink.exe -batch -ssh -pw password root@192.168.1.254 "tcpdump -ni br-lan -s 0 -w - not port 22" | "C:\Program Files\Wireshark\Wireshark.exe" -k -i -
发现并没有抓到目的地址是 255.255.255.255 的包，实时链接里面有，看来应该是 openwrt 把包给丢了。
上面的这种环境实用算是方案三，一边是 pc 端安装 zerotier 客户端，一边是 openwrt 插件。
在这种环境下，openwrt 实时链接里面还能看到有 udp 包过来。
而在方案二里，openwrt 收不到 udp 包，应该是包直接被丢了。
目前在网上找到的最靠谱的是这个贴子： https://www.haiyun.me/archives/1443.html
可惜由于版本过高安装不了 iptables-mod-tee 。

[q403809607]

你把 zerotier 上的路由表发上来看看

[simplove]

@Aixiaoa 这个我之前看到了。
整理之后应该是这个样子的
iptables -t mangle -A INPUT -i br-lan -d 255.255.255.255 -m ttl --ttl-gt 0 -j TTL --ttl-set 1
iptables -t mangle -A INPUT -i ztrtatf7n4 -d 255.255.255.255 -m ttl --ttl-gt 0 -j TTL --ttl-set 1
iptables -t mangle -A INPUT -i br-lan -d 255.255.255.255 -m ttl --ttl-gt 0 -j TEE --gateway 192.168.1.255
iptables -t mangle -A INPUT -i ztrtatf7n4 -d 255.255.255.255 -m ttl --ttl-gt 0 -j TEE --gateway 192.168.192.255

192.168.192.255 是 zerotire 的广播地址
192.168.1.255 是本地的广播地址。
这么写应该没错，不过仍然不行

[simplove]

@q403809607 
两台 pc 都可以直接 ping 通了，路由是可达的。

[Aixiaoa]

@simplove 这个规则和你说的 tee 装不了。其实都是同样的啊。 这个规则也需要 tee 支持。 不过你可以看下这个 https://github.com/nomeata/udp-broadcast-relay 编译一个带这个的 op 试试

[haohaolee]

这是广播域的问题，iptables 主要还是三层的，（虽然也有 ebtables ）
建议还是规规矩矩来，跑一个 UDP proxy 监听你要的端口，然后转发到另外一个接口，比如 br-lan

[st05329602009]

@yuantianwei 大佬的 planet 怎么联系你