무선 핫스팟을 통한 "뒤로 경로"가 작동하지 않음

무선 핫스팟을 실행하는 Linux 장치가 있습니다.

my laptop (LAN only: 192.168.1.100)
  |
 LAN
  |
wireless hotspot laptop (LAN: 192.168.1.101, wireless hotspot: 10.42.0.1, VMs: 10.254.2.x)
  |
wireless printer (wifi: 10.42.0.67)

내 노트북에서는 LAN IP(192.168.1.101)를 사용하여 무선 핫스팟 노트북에 ping/연결할 수 있습니다.

내 노트북에 다음 경로를 추가한 후 무선 핫스팟 IP(10.42.0.1)에 핑/연결할 수도 있었습니다.

ip route add to 10.42.0.0/24 via 192.168.1.101

다음 라우팅 규칙을 추가하면 랩톱의 VM에 핑/연결할 수도 있습니다.

ip route add to 10.254.2.0/24 via 192.168.1.101

그러나 무선 네트워크(10.42.0.0/24) 내의 모든 장치에 대한 핑/연결 - 주사위가 없어 "대상 포트에 연결할 수 없음"이 표시됩니다.

# ping 10.42.0.67
PING 10.42.0.67 (10.42.0.67) 56(84) bytes of data.
From 192.168.1.101 icmp_seq=1 Destination Port Unreachable
From 192.168.1.101 icmp_seq=2 Destination Port Unreachable
^C
--- 10.42.0.67 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 1001ms

무선 핫스팟 노트북에 다음 MASQUERADE 규칙을 추가하면 노트북이 8.8.8.8과 통신할 수 있습니다.

iptables -t nat -A POSTROUTING -s 192.168.1.100 -j MASQUERADE

무선 핫스팟 노트북의 tcpdump는 내 노트북에서 8.8.8.8로의 트래픽이 이를 통과하고 있음을 보여줍니다.

# ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=117 time=44.4 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=117 time=46.9 ms
^C
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 44.425/45.668/46.912/1.243 ms

여전히 10.42.0.67(무선 핫스팟 뒤의 무선 프린터)에 연결 - 주사위 없음(아래는 무선 핫스팟의 tcpdump입니다):

01:25:20.901823 enp1s0 In  IP (tos 0x0, ttl 64, id 37541, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.1.100 > 10.42.0.67: ICMP echo request, id 216, seq 16, length 64
01:25:20.902038 enp1s0 Out IP (tos 0xc0, ttl 64, id 11555, offset 0, flags [none], proto ICMP (1), length 112)
    192.168.1.101 > 192.168.1.100: ICMP 10.42.0.67 protocol 1 port 12067 unreachable, length 92
        IP (tos 0x0, ttl 63, id 37541, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.1.100 > 10.42.0.67: ICMP echo request, id 216, seq 16, length 64

Linux가 라우팅하거나 NAT를 원하지 않는 Wi-Fi에 특별한 것이 있습니까?

현재 nftables 규칙은 다음과 같습니다. lxd일부는 nm-shared-wlp2s0무선 핫스팟과 관련되어 있으며 iptables 규칙은 없습니다(위 예에서는 MASQUERADE가 없습니다).

table inet lxd {
        chain pstrt.lxdbr0 {
                type nat hook postrouting priority srcnat; policy accept;
                ip saddr 10.254.2.0/24 ip daddr != 10.254.2.0/24 masquerade
        }

        chain fwd.lxdbr0 {
                type filter hook forward priority filter; policy accept;
                ip version 4 oifname "lxdbr0" accept
                ip version 4 iifname "lxdbr0" accept
        }

        chain in.lxdbr0 {
                type filter hook input priority filter; policy accept;
                iifname "lxdbr0" tcp dport 53 accept
                iifname "lxdbr0" udp dport 53 accept
                iifname "lxdbr0" icmp type { destination-unreachable, time-exceeded, parameter-problem } accept
                iifname "lxdbr0" udp dport 67 accept
        }

        chain out.lxdbr0 {
                type filter hook output priority filter; policy accept;
                oifname "lxdbr0" tcp sport 53 accept
                oifname "lxdbr0" udp sport 53 accept
                oifname "lxdbr0" icmp type { destination-unreachable, time-exceeded, parameter-problem } accept
                oifname "lxdbr0" udp sport 67 accept
        }
}
table ip nm-shared-wlp2s0 {
        chain nat_postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                ip saddr 10.42.0.0/24 ip daddr != 10.42.0.0/24 masquerade
        }

        chain filter_forward {
                type filter hook forward priority filter; policy accept;
                ip daddr 10.42.0.0/24 oifname "wlp2s0" ct state { established, related } accept
                ip saddr 10.42.0.0/24 iifname "wlp2s0" accept
                iifname "wlp2s0" oifname "wlp2s0" accept
                iifname "wlp2s0" reject
                oifname "wlp2s0" reject
        }
}