iptables防火墙(二)-SNAT和DNAT原理与应用

SNAT和DNAT

SNAT是指在数据包从网卡发送出去的时候，把数据包中的源地址部分替换为指定的IP，这样，接收方就认为数据包的来源是被替换的那个IP的主机。

DNAT就是指数据包从网卡发送出去的时候，修改数据包中的目的IP，表现为如果你想访问A，可是因为网关做了DNAT，把所有访问A的数据包的目的IP全部修改为B，那么，你实际上访问的是B 因为，路由是按照目的地址来选择的。

因此DNAT是在PREROUTING链上来进行的，而SNAT是在数据包发送出去的时候才进行，所以是在POSTROUTING链上进行的。 通过SNAT和DNAT可以使内网和外网进行相互通讯。

SNAT原理与应用：

SNAT应用环境

局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由）

SNAT原理

修改数据包的源地址。

SNAT转换

SNAT转换前提条件：

• 局域网各主机已正确设置IP地址、子网掩码、默认网关地址

• Linux网关开启IP路由转发

  • 临时打开：
    echo 1 > /proc/sys/net/ipv4/ip_forward
sysctl -w net.ipv4.ip_forward=1

  • 永久打开：
    vim /etc/sysct1.conf
net.ipv4.ip_forward=1 #将此行写入配置文件

  sysctl -p #读取修改后的配置

SNAT转换1–固定的公网IP地址：

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
内网IP 出站 外网网卡 外网IP或地址池

SNAT转换2–非固定的公网IP地址（共享动态IP地址）:

iptables -t nat -A POSTROUTING -S 192.168.80.0/24-0 ens33 -j MASQUERADE

小知识扩展：

一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网。

DNAT原理与应用

DNA应用环境:

在 Internet中发布位于局域网内的服务器

DNAT原理:

修改数据包的目的地址。

DNAT转换

DNAT转换前提条件:

• 局域网的服务器能够访问 Internet

• 网关的外网地址有正确的Ds解析记录

• Linux网关开启路由转发

  • vim /etc/sysctl. conf

  • net. ipv4. ip forward

  sysctl -p #读取修改后的配置

DNAT转换1–发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为192.168.108.25
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.108.25
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.108.25
入站 外网网卡 外网IP 内网服务器IP
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.108.20-192.168.108.100

DNAT转换2–发布时修改目标端口

#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.108.25:22

#在外网环境中使用ssH测试
ssh -p 250 root@12.0.0.1
yum -y install net-tools

#若没有ifconfig命令可提前使用yum进行安装
ifconfig ens33
注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回

小知识扩展：
主机型防火墙 主要使用 INPUT、OUTPUT 链，设置规则时一般要详细的指定到端口
网络型防火墙 主要使用 FORWARD 链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可

防火墙规则的备份和还原

导出（备份）所有表的规则

iptables-save > /opt/ipt.txt

导入（还原）规则

iptables-restore < /opt/ipt.txt

自动还原规则

将iptables规则文件保存在 /etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则

iptables-save > /etc/sysconfig/iptables
systemctl stop iptables #停止iptables服务会清空掉所有表的规则
systemctl start iptables #启动iptables服务会自动还原/etc/sysconfig/iptables 中的规则