iptables中的snat与dnat配置技术文档


首先需要弄清楚snat与dnat的区别:
从定义来讲它们一个是源地址转换(snat),一个是目的地址转换(dnat)。都是地址转换的功能,将私有地址转换为公网地址。

要区分这两个功能可以简单的由连接发起者是谁来区分:

  • SNAT:内部地址要访问公网上的服务时(如web访问),内部地址会主动发起连接,由路由器或者防火墙上的网关对内部地址做个地址转换,将内部地址的私有IP转换为公网的公有IP,网关的这个地址转换称为SNAT,主要用于内部共享IP访问外部。
  • DNAT:当内部需要提供对外服务时(如对外发布web网站),外部地址发起主动连接,由路由器或者防火墙上的网关接收这个连接,然后将连接转换到内部,此过程是由带有公网IP的网关替代内部服务来接收外部的连接,然后在内部做地址转换,此转换称为DNAT,主要用于内部服务对外发布。

在配置防火墙或者路由acl策略时要注意这两个NAT一定不能混淆。

一、SNAT实验:

实验准备:
内部PC机(虚拟win10:192.168.200.100);网关服务器(centos7-2:ens-33:192.168.200.20与ens-36:12.0.0.1,注意需要提前再添加一张网卡ens-36,实现双网卡);外部web服务器(centos7-1:12.0.0.12)
在这里插入图片描述

操作步骤:
首先我们需要更改一下网关服务器中ens-36网卡的IP地址(这里我们可以将ens-33的网卡配置文件复制到ens-36中然后直接进行修改即可)
在这里插入图片描述
重启网卡后查看一下是否更改成功。
在这里插入图片描述

然后在网关服务器中重启iptables服务
在这里插入图片描述
然后将nat中的规则清除
在这里插入图片描述
在网关服务器中开启路由转发功能
在这里插入图片描述
使用sysctl -p 查看路由转发功能是否开启成功。
在这里插入图片描述

接下来准备web服务器,进入/etc/sysconfig/network-scripts/下更改ifcfg-ens33。更改IP地址与网关地址,并将DNS注释掉。
在这里插入图片描述
更改完网卡后会与xshell断开连接,那我们就直接在虚拟机中进行操作。
在7-1中检查一下网卡是否更改成功。
在这里插入图片描述
然后将firewalld防火墙关闭
在这里插入图片描述
接下来挂载磁盘后,安装httpd服务,并开启。
在这里插入图片描述
在这里插入图片描述
接下来在虚拟win10上测试一下是否可以连接上web。
不过在此之前需要先修改一下win10的网卡。
在这里插入图片描述
使用ping 命令检验是否可以连通网关服务器与web服务器
在这里插入图片描述
同样在虚拟win10中也可以连接上web服务器的网站
在这里插入图片描述
此时我们在web服务器中查看httpd的访问日志文件,发现是使用的客户机自己的IP进行访问的。
在这里插入图片描述

接下来就是进行SNAT的配置,将内部IP地址192.168.200.100更改为公网IP地址12.0.0.1后进行web的访问。

iptables -t nat -A POSTROUTING -s 192.168.200.0/24 -o ens36 -j SNAT --to 12.0.0.1
         指定nat表   指定链          内网IP网段       外网网卡  使用SNAT  转换的外网IP 

在这里插入图片描述
设置完以后在win10上再次访问wen服务器
在这里插入图片描述
再次查看web服务器的httpd日志,发现这次访问的网址是12.0.0.1了,说明SNAT设置成功。
在这里插入图片描述

二、DNAT实验

实验准备:
内网web服务器 7-1(192.168.200.11);网关服务器 7-2(ens33:192.168.200.20;ens36:12.0.0.1);外网客户端win10(12.0.0.0/24)
注意:配置DNAT,需要一起配置SNAT,因为web服务器返回数据的时候也是需要将IP地址转换之后进行回复的。
在这里插入图片描述
我们继续使用上面配置SNAT的虚拟机,所以首先需要将网关服务器上面的iptables规则清空。
在这里插入图片描述
然后重新确认一下是否开启了路由转发功能(=1即开启)
在这里插入图片描述

将web服务器(7-1)的网卡进行更改。
在这里插入图片描述
在这里插入图片描述
最好在web服务器上再重启一下httpd服务
在这里插入图片描述
在win10上更改一下网卡
在这里插入图片描述
然后就是进行DNAT和SNAT的配置了,其中DNAT配置命令为:

iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.200.11
                 使用PREROUTING链  指定入站端口ens36          指定端口号80

SNAT配置命令为:

iptables -t nat -A POSTROUTING -o ens36 -s 192.168.200.0/24 -j SNAT --to 12.0.0.1

在这里插入图片描述
接着查看一下规则是否配置成功
在这里插入图片描述
然后就可以在 win10 上访问12.0.0.1进行web访问了
在这里插入图片描述
而此时访问后在web服务器的日志中查看访问日志
在这里插入图片描述

<think>好的,我现在需要给用户介绍一下iptables中的SNATDNAT。首先,我得回忆一下自己对这两个概念的理解,确保没有混淆。SNAT是源地址转换,DNAT是目的地址转换,对吗?对的,我记得SNAT主要用于当内部网络的主机访问外部网络时,修改源IP地址,通常是用来共享一个公网IP出口。而DNAT则是当外部网络的主机访问某个公网IP的特定端口时,将其转发到内部网络的某个服务器上,比如端口映射。 接下来,我需要考虑用户可能的背景。用户可能对iptables有一定了解,但需要明确区分这两个NAT类型,或者是在配置网络时遇到了问题。需要从基本概念入手,解释两者的用途典型应用场景,同时给出实际例子,这样用户更容易理解。 需要确认SNATDNATiptables中的具体应用链。SNAT一般用在POSTROUTING链,而DNAT用在PREROUTING链。这是因为SNAT是在路由之后修改源地址,而DNAT是在路由之前修改目标地址,确保数据包能正确路由到内部主机。 同时,应该提到MASQUERADE,这是SNAT的一种特殊形式,适用于动态IP的情况,比如拨号上网。而DNAT常用于将外部请求转发到内部的Web服务器或SSH服务器。 还要注意语法格式,比如SNAT的--to-sourceDNAT的--to-destination,以及相应的端口映射示例。比如,将外部的80端口请求转发到内网服务器的8080端口。 可能会遗漏一些细节,比如conntrack模块的作用,或者需要开启IP转发功能(net.ipv4.ip_forward=1)。这些虽然不是核心概念,但对于实际配置成功很重要,应该提到。 用户可能想知道什么时候用SNAT,什么时候用DNAT,所以需要明确两者的区别:SNAT改的是发出数据包的源地址,DNAT改的是接收数据包的目标地址。典型的SNAT用例是让多个内网设备通过一个公网IP上网,而DNAT用于从外部访问内网服务。 最后,结构要清晰,分点解释,给出示例命令,并总结两者的区别常见应用场景,这样用户能快速抓住重点。</think>**iptablesSNATDNAT详解** **1. 核心概念对比** - **SNAT(Source NAT)** - 作用:修改数据包源地址 - 典型场景:内网设备共享公网IP访问互联网 - 生效阶段:`POSTROUTING`链(路由决策之后) - 特点:需指定固定IP(如 `--to-source 202.96.128.5`) - **DNAT(Destination NAT)** - 作用:修改数据包目标地址 - 典型场景:公网访问内网服务器 - 生效阶段:`PREROUTING`链(路由决策之前) - 特点:支持端口映射(如 `--to-destination 192.168.1.10:8080`) **2. 配置示例** ```bash # SNAT示例(静态IP环境) iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 202.96.128.5 # SNAT动态IP场景(ADSL拨号) iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE # DNAT端口映射(外部80转内部8080) iptables -t nat -A PREROUTING -d 202.96.128.5 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:8080 ``` **3. 关键实现原理** - **连接跟踪机制**:依赖`conntrack`模块记录NAT前后的连接状态 - **双向地址转换**:自动处理响应数据包的逆向转换 - **路由决策时机**: - DNAT在路由前修改目标地址,影响后续路由路径 - SNAT在路由后修改源地址,保证出站路径正确 **4. 典型应用场景** - SNAT常见用途: - 企业内网共享上网 - 多服务器负载均衡出口 - 隐藏真实客户端IP - DNAT常见用途: - 家庭宽带映射游戏服务器 - 云服务器端口转发 - 反向代理后端服务 **5. 必要系统配置** ```bash # 启用IP转发(永久生效需修改/etc/sysctl.conf) echo 1 > /proc/sys/net/ipv4/ip_forward ``` **6. 流量路径示意图** ``` 外部访问DNAT流程: 互联网 → 防火墙PREROUTING(DNAT) → 路由决策 → 内网服务器 内部访问SNAT流程: 内网主机 → 路由决策 → 防火墙POSTROUTING(SNAT) → 互联网 ``` **7. 诊断命令** ```bash # 查看NAT表规则 iptables -t nat -nvL --line-numbers # 监控NAT连接状态 conntrack -E ``` **注意**:实际部署时需同步考虑安全策略,建议
评论 5
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

清风~

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值