iptables实现网络限制下ntp自定义端口同步时间

最新推荐文章于 2024-10-10 19:33:35 发布

旺仔_牛奶

最新推荐文章于 2024-10-10 19:33:35 发布

阅读量1.2k

点赞数

CC 4.0 BY-SA版权

分类专栏： Linux 文章标签：运维

本文链接：https://blog.csdn.net/qq_41586875/article/details/126150728

Linux 专栏收录该内容

47 篇文章

订阅专栏

本文介绍了如何通过iptables的DNAT规则，在无法直接访问123端口的情况下，将本地ntpdate请求重定向到192.168.1.1的666端口，进而实现时间同步。通过iptables的OUTPUT链配置，将123端口的UDP流量转换为666端口，从而绕过网络限制。虽然POSTROUTING DNAT配置无效，但OUTPUT链的DNAT规则成功实现了流量转发，从iptables的规则验证中可以看出该配置已生效。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

# 需求
	ntpdate 192.168.1.1:123(192.168.1.1:666->10.0.0.1->123)
	ntpdaete没法指定端口，ntpd 同步是192.168.1.1:123，但是123因为无法正常访问，这个机器本机做了666端口映射给后端ntp服务器的123端口
	
# 解决方法(时间同步服务端，客户端配置如下)，由于REDIRECT将访问本机或访问以本机作为网关机的主机的数据包头中的端口由原来的目标端口替换成指定的目标端口，在这种情况下不适用，只适用本机端口转发给本机另一个端口
# 由于这是本机流量转发配置，不属于其他流量转发给本机的，所以配置PREROUTING DNAT是没有效果的，因为压根不会匹配这里的规则

# 方法一，POSTROUTING没法配置DNAT
	iptables -t nat -I OUTPUT -p udp -d 192.168.1.1 --dport 123 -j DNAT --to 192.168.1.1:666

# 验证（因为后端没有实际的NTP服务器，所以这里不会通，我们只需要看iptables规则即可）
[root@boy ~]# ntpdate 192.168.1.1
 3 Aug 11:01:34 ntpdate[1734]: no server suitable for synchronization found
 
 # iptables规则验证，通过这里 pkts,bytes可知规则生效了，实现了本机 ntpdate 192.168.1.1:123 -> ntpdate 192.168.1.1:6666 ->(这一层网络设备映射) ntpdate 10.0.0.1:123
 [root@boy ~]# iptables -t nat -nvL
Chain OUTPUT (policy ACCEPT 15 packets, 976 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    76 DNAT       udp  --  *      *       0.0.0.0/0            192.168.1.1          udp dpt:123 to:192.168.1.1:666