udpnat

udpnat

NAT UDP uniquement compatible P2P pour Linux.

Habituellement, NAT est configuré sur Linux avec cette commande :

 iptables -t nat -A POSTROUTING -j MASQUERADE

Cela crée un NAT conique restreint aux ports, qui n'est pas compatible avec la perforation UDP utilisée par les applications peer-to-peer.

Ce programme est un simple NAT en espace utilisateur qui décode les paquets UDP envoyés à l'interface TUN et utilise les sockets non bruts habituels pour les connexions sortantes, un peu comme SLiRP.

 host@user$ stun stun.counterpath.net
Primary: Independent Mapping, Port Dependent Filter, preserves ports, no hairpin

gateway@root# ip tuntap add dev udpnat mode tun user udpnat_user
gateway@root# ip link set udpnat up
gateway@root# echo 0 > /proc/sys/net/ipv4/conf/udpnat/rp_filter
gateway@root# echo 1 > /proc/sys/net/ipv4/conf/udpnat/forwarding
gateway@root# iptables -t mangle -I PREROUTING -i tun0 -p udp ! --dport 53 -j MARK --set-xmark 44
gateway@root# iptables -t mangle -I PREROUTING -i udpnat -p udp -j MARK --set-xmark 45
gateway@root# iptables -t nat -I POSTROUTING -m mark --mark 44 -j RETURN
gateway@root# iptables -t nat -I POSTROUTING -m mark --mark 45 -j RETURN
gateway@root# ip route add default dev udpnat table 44
gateway@root# ip rule add fwmark 44 table 44
gateway@udpnat_user$ ulimit -n 8192
gateway@udpnat_user$ udpnat /dev/net/tun udpnat 60

host@user$ stun stun.counterpath.net
Primary: Independent Mapping, Independent Filter, preserves ports, no hairpin

Limites:

• IPv4 uniquement
• Pas de prise en charge des paquets fragmentés
• Gestion des erreurs limitée
• Évolutivité limitée (boucle d'événements basée sur O_ASYNC) : utilisez le routage multivoies (prochain saut) si vous souhaitez plus de 5 000 connexions. 1 paquet routé = 4 appels système.
• Configurabilité limitée
• Problèmes de sécurité en cas d'utilisation naïve (par exemple, l'extrait ci-dessus n'est pas sécurisé)

Il existe une version statique basée sur Musl x86_64 sur les versions de Github.

Licence : MIT ou Apache 2.0.