op 为旁路由如何通过公网访问指向旁路由下的设备？

其中 op 使用的版本为：

ImmortalWrt 18.06-k5.4-SNAPSHOT r12339-8b50c1df21 (2023-05-03) / LuCI openwrt-18.06-k5.4 branch (git-22.312.35760-7afcfb2)

https://github.com/tty228/luci-app-serverchan/blob/d04c70632e251050b65ec6b20c040ff3e6fa5cf9/root/usr/share/serverchan/serverchan#L1323

除了转发，还需要重写源 IP ，不然会被大多数防火墙当做无效数据包丢弃

iptables -t nat -I POSTROUTING -p tcp -d 10.0.0.6 --dport 520 -j SNAT --to-source 10.0.0.222

吃完饭重新看了一下帖子，好像场景和我想象中不一样，不确定上面的规则能不能用
手上的 OpenWrt 都升级 nftables 了没法测试 →_→

如果上面的规则不能用的话，大概是要在主路由上添加规则：
iptables -t nat -A POSTROUTING -p tcp -d 10.0.0.6 --dport 520 -j SNAT --to-source 10.0.0.1

不过爱快没用过不知道能不能设置相关的选项，不嫌麻烦的话，可以转发 520 端口到 OpenWrt ，再由 OpenWrt 转发到 Linux 主机

@tty228 nftables 我那个自带的 dnsmasq 好像不是的 搞不懂是啥原理 是不是出去的数据被丢弃了 进来的时候能找到

wan —ikuai -op-linux

出去的时候找不到

用我的方案，放弃旁路由用法

openwrt 做旁路由时，如果需要科学的主机将网关、DNS 指向 Openwrt 旁路由后直接在主路由将需要转发的端口设置为主机无法转发成功，需要先主路由转发到旁路由，旁路由再二次端口转发至主机

你这些设备都在同一个局域网的话，主路由应该能和网段内的任意设备互访的，不管这些设备的网关设置成什么。因为这时候是通过 ARP 找到对方，而不是网关。

@Rysle +1
我也这个拓扑，端口映射后，外网访问内网设备没问题的

@sexoutsex2011 有没有富强呢 ？ 不需要在自定义防火墙添加某些端口命令吗？

我是为了富强才用 openclash ，还有个亚马逊电视棒走的旁路由。

@Rysle 好像不行 网关指向 op 的时候就不能通过外网转发访问到

@RayGZJ 有富强的，不需要

@sexoutsex2011 你是什么版本的 op

最好的方法是旁路由不要做 NAT ，你上面的问题根因很简单端口映射没做全

外网访问-->爱快:520--旁路由(NAT)--设备:520
这里看对于爱快是不知道你的设备的，哪怕是在同一个局域网。
假设你的爱快直接映射设备的 520 端口，你看路径外部进来是 爱快->设备:520 内部路径 设备:520->旁路由 IP(NAT)旁路由 IP-爱快 看到没有 ip 连接不一致导致你的 TCP 连接建立不起来。原因都在这里。

正确方式旁路由(NAT)模式
爱快映射:520-->旁路由:520-->旁路由:520-->映射设备 IP:520
爱快端口映射 旁路由端口映射
正确的是有两次端口映射的过程的。

更好的旁路由方法，最好关闭旁路由的防火墙删除所有区域，防火墙选项全部放行
这样你的旁路由就真的只做路由功能，唯一会变的就是经过了旁路由你的原始数据的源 mac 地址会变成旁路由的 mac 地址 IP 地址不会变动所以对于爱快来说设备地址是可见的。
于是上面的端口映射就可以按照正常的思路做 在爱快上面直接映射设备的地址就行了

@Rysle 互访是可以出爱快就不是了，爱快访问设备可以 arp 局域网内的话。当外部访问进来可以直接找到设备 问题是设备回应的数据包在旁路由会把 设备的 ip 转换成旁路由的 ip 这样源 ip 地址变了爱快能让 tcp 建立连接？爱快找 A A 把东西给 B B 在给爱快，爱快表示不是 A 给的我不收 于是连接就建立不起来了。

旁路由做 nat 又多了一层 nat 确实不是很好的办法。如果是为了科学，可以用这个类似的方案，不需要改网关： https://github.com/kkkgo/PaoPaoGateWay

@thereone #15 感谢回复，防火墙规则每次都要加不同端口，按照你的说法可否直接在 op 设置端口全映射（ fullcone ）并删除防火墙所有规则？

另请教：旁路由可否这样理解，所有在局域网内网关指向旁路由的，都经过 op 的 NAT 转换，而 ikuai 并不能直接访问旁路由下的设备。例如 ikuai 主网 ip 为 10.0.0.1 ，旁路由 10.0.0.6 。

同局域网内，设备 A 网关指向 ikuai ，设备 B 网关指向 op ，不考虑外网访问的前提下，通过局域网内地址 10.0.0.x ，设备 A 可否访问设备 B 在 op 未设置防火墙规则的端口？

@mohumohu #17 感谢回复，到时候搞一个单独 x86 小主机看看。现在感觉使用 Apple TV 做软路由是个不错的选择。x86 还是比较折腾。

@mbooyn #8 实际应该是指向旁路有多设备数据将多走一段路，设备-op-ikuai-wan