iptables防火墻

一：SNAT原理與應(yīng)用

• SNAT 應(yīng)用環(huán)境：局域網(wǎng)主機(jī)共享單個(gè)公網(wǎng)IP地址接入Internet（私有不能早Internet中正常路由）
• SNAT原理：修改數(shù)據(jù)包的源地址。

SNAT轉(zhuǎn)換前提條件：

1.局域網(wǎng)各主機(jī)已正確設(shè)置IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)地址
2.Linux網(wǎng)關(guān)開啟IP路由轉(zhuǎn)發(fā)
臨時(shí)打開：

echo 1 > /proc/sys/net/ipv4/ip_forward

或

sysctl -w net.ipv4.ip_forward=1

永久打開：

vim /etc/sysctl.conf
#vim編輯內(nèi)容   
net.ipv4.ip_forward = 1 		#將此行寫入配置文件

sysctl -p 						#命令行輸入讀取修改后的配置

SNAT轉(zhuǎn)換

• 1：固定的公網(wǎng)IP地址：

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
#-s指定內(nèi)網(wǎng)IP，-o指定出站的外網(wǎng)網(wǎng)卡 --to指定外網(wǎng)ip
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
#--to-source指定外網(wǎng)地址池

• 2：非固定的公網(wǎng)IP地址（共享動(dòng)態(tài)IP地址）：

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j MASQUERADE
-j MASQUERADE 指定非固定公網(wǎng)IP地址

步驟一正確修改ip地址
步驟二關(guān)閉防火墻和selinux
步驟三SNAT轉(zhuǎn)換前提條件
步驟四SNAT轉(zhuǎn)換

小知識(shí)擴(kuò)展：
一個(gè)IP地址做SNAT轉(zhuǎn)換，一般可以讓內(nèi)網(wǎng) 100到200 臺(tái)主機(jī)實(shí)現(xiàn)上網(wǎng)。

二：DNAT原理與應(yīng)用

• DNAT 應(yīng)用環(huán)境：在Internet中發(fā)布位于局域網(wǎng)內(nèi)的服務(wù)器
• DNAT原理：修改數(shù)據(jù)包的目的地址。
  
  

DNAT轉(zhuǎn)換前提條件：

• 1.局域網(wǎng)的服務(wù)器能夠訪問Internet
• 2.網(wǎng)關(guān)的外網(wǎng)地址有正確的DNS解析記錄
• 3.Linux網(wǎng)關(guān)開啟IP路由轉(zhuǎn)發(fā)

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 	

sysctl -p

DNAT轉(zhuǎn)換

• 1：發(fā)布內(nèi)網(wǎng)的Web服務(wù)

#把從ens33進(jìn)來(lái)的要訪問web服務(wù)的數(shù)據(jù)包目的地址轉(zhuǎn)換為 192.168.80.10
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.10
#-i指定入站外網(wǎng)網(wǎng)卡 -d指定外網(wǎng)ip --to指定內(nèi)網(wǎng)ip
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.10
#--to-destination也為指定內(nèi)網(wǎng)ip

iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.10-192.168.80.20
#指定內(nèi)網(wǎng)ip范圍

• 2：發(fā)布時(shí)修改目標(biāo)端口

#發(fā)布局域網(wǎng)內(nèi)部的OpenSSH服務(wù)器，外網(wǎng)主機(jī)需使用250端口進(jìn)行連接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.10:22

#在外網(wǎng)環(huán)境中使用SSH測(cè)試
ssh -p 250 root@12.0.0.1

yum -y install net-tools 		#若沒有 ifconfig 命令可提前使用 yum 進(jìn)行安裝
ifconfig ens33

步驟一設(shè)置ip地址和默認(rèn)網(wǎng)關(guān)（客戶端設(shè)置IP地址和默認(rèn)網(wǎng)關(guān)，網(wǎng)關(guān)服務(wù)器開啟2張網(wǎng)卡，一個(gè)內(nèi)網(wǎng)一個(gè)外網(wǎng)）
步驟二關(guān)閉防火墻和selinux
步驟三DNAT轉(zhuǎn)換前提條件
步驟四DNAT轉(zhuǎn)換

注意：使用DNAT時(shí)，同時(shí)還有配合SNAT使用，才能實(shí)現(xiàn)響應(yīng)數(shù)據(jù)包的正確返回

小知識(shí)擴(kuò)展：
主機(jī)型防火墻 主要使用 INPUT、OUTPUT 鏈，設(shè)置規(guī)則時(shí)一般要詳細(xì)的指定到端口
網(wǎng)絡(luò)型防火墻 主要使用 FORWARD 鏈，設(shè)置規(guī)則時(shí)很少去指定到端口，一般指定到IP地址或者到網(wǎng)段即可

三：防火墻規(guī)則的備份和還原

• 導(dǎo)出（備份）所有表的規(guī)則

iptables-save > /opt/文件名（自建）

• 導(dǎo)入（還原）規(guī)則

iptables-restore < /opt/文件名（自建）

• 將iptables規(guī)則文件保存在 /etc/sysconfig/iptables（系統(tǒng)默認(rèn)） 中，iptables服務(wù)啟動(dòng)時(shí)會(huì)自動(dòng)還原規(guī)則

iptables-save > /etc/sysconfig/iptables     #配置好的規(guī)則導(dǎo)入到默認(rèn)配置文件中
systemctl stop iptables						#停止iptables服務(wù)會(huì)清空掉所有表的規(guī)則
systemctl start iptables					#啟動(dòng)iptables服務(wù)會(huì)自動(dòng)還原/etc/sysconfig/iptables 中的規(guī)則

四：tcpdump命令

Linux抓包工具

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-454836.html

到了這里，關(guān)于iptables防火墻2的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！