问基于防火墙的SSH隧道

EN

使用Shorewall，您正在寻找一个DNAT规则( 在线文件是一流的，去那里)。你最终会有这样的结果

DNAT net loc:192.168.1.3:1234 tcp 5678

在规则文件中，192.168.1.3是数据库服务器的IP地址。如果传入的连接和web服务器到数据库服务器的连接位于相同的NIC上，则必须启用routeback选项。

不过，我强烈要求你不要这样做！这使您的数据库服务器向任何人开放，显式地授予他们将自己伪装成web服务器的访问权限，并否定了数据库服务器对防火墙本身的任何功能。此外，您在此连接上所做的一切都是未加密的，包括您的数据库服务器用户名和密码！所以别这么做！您的SSH隧道提供了身份验证和加密，而此端口转发不会这样做。

还有，你为什么要使用这么古老的Shorewall版本？我已经使用Shorewall多年了，当我开始使用版本3是过时的！到目前为止，您至少应该在4.0上，或者更好的是4.2或4.4。保持您的安全软件的最新是绝对必要的！

我想你可以用这样的东西来实现你想要的东西(不是测试，只是从内存中得到的，很可能行不通，但是可以给你一些开始的提示)。在web服务器中，尝试：

iptables -t nat -I PREROUTING -p tcp --dport 5678 -j REDIRECT --to-port 1234
iptables -t nat -A PREROUTING -p tcp --dport 1234 -j DNAT --to-destination database.server.com 

除非您的数据库服务器直接无法从路由器到达，否则您可以直接在路由器上映射相应的端口。

但是，在我看来，您仍然应该使用ssh隧道，因为它的优点是：

1)连接需要良好的自动化，2)流量加密，3)您可以随时使用ssh调整连接(添加压缩，向隧道添加更多端口，添加socks5绑定等)。

如果您不想保留ssh隧道，可以设置一个像openvpn这样的自动加密VPN来进行同样的操作。这将使您的服务器受到更多的保护。