计算机网络 day10 DNAT问题 - 堡垒机 - WLAN

原创

已于 2023-07-19 11:18:57 修改 · 1k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#计算机网络 #linux #服务器

于 2023-07-18 22:03:33 首次发布

文章详细阐述了DNAT在路由转发中的作用，解释了防火墙服务器如何通过DNAT策略将外部请求映射到内网Web服务器的特定端口，以及如何通过堡垒机和SNAT、MASQUERADE策略实现安全的远程访问。同时，讨论了DNAT策略在网关服务器自身访问内网服务时的问题，以及如何处理重启后策略失效的情况。

DNAT策略拓扑图：

问题一：当我们访问内网的Web服务的时候，我们防火墙服务器的80端口和Web服务器的8000端口是否需要一直调用程序监控呢？

DNAT的作用就是可以帮助我们进行路由转发功能

问题二：当我们在继续DNAT实验的时候，Web服务器和firewall网关服务器的LAN口都采用的是hostonly模式，我们如何在不使用Windows的Vmnet1网卡（hostonly模式）而使Windows上的Xshell连接上Web服务器呢？

因此我们可以得知，我们可以通过不同的端口号发布内网不同的服务器（如Mysql、redis、nginx等）

DNAT策略配置文件：

问题三：为什么当我们完成DNAT实验后，外网的机器能通过firewall网关服务器访问我们的Web服务器的网页，但是我们自己的firewall网关服务器不能访问Web客户机的网页呢？

问题四：配置完SNAT和DNST规则后，如果我们对firewall网关服务器进行重启，SNAT和DNST策略会失效，我们应该如何解决呢？

步骤：

堡垒机和跳板机

堡垒机和跳板机的作用：

推荐使用：JumpServer - 开源堡垒机 - 官网

堡垒机/跳转机策略拓扑图：

MASQUERADE（与SNAT同等效果的MASQUERADE策略（伪装））

MASQUERADE策略的配置：

查看配置：

无线信号弱 --》导致传输的速度会减慢 --》网速变慢

三创无线网络部署拓扑图：

DNAT策略拓扑图：

问题一：当我们访问内网的Web服务的时候，我们防火墙服务器的80端口和Web服务器的8000端口是否需要一直调用程序监控呢？

当我们使用A机器访问Web服务器的时候，访问的网址是http://192.168.1.254:80，它（A）访问的是我们防火墙服务器WAN口网卡的80端口，防火墙服务器会帮助我们将它的访问映射到我们Web服务器（内网）的8000端口，防火墙服务器采取的是DNAT策略，它会帮助我们将数据映射到192.168.2.80:8000去，因此我们内网的机器（Web服务器）必须监听8000端口，但是我们的防火墙服务器不需要去监听80端口，因为当A机器发送数据包的时候，我们的防火墙服务器会去检查它发送的数据包内TCP的封装，了解它的目的端口是多少（防火墙服务器并不会提供一个服务去监听80端口，它只需要知道目的端口是80就可以了），如果是80，它就会自动启用iptables内设定的DNAT策略去转发数据包给Web服务器的8000端口。

DNAT的作用就是可以帮助我们进行路由转发功能

问题二：当我们在继续DNAT实验的时候，Web服务器和firewall网关服务器的LAN口都采用的是hostonly模式，我们如何在不使用Windows的Vmnet1网卡（hostonly模式）而使Windows上的Xshell连接上Web服务器呢？

Web服务器不使用Windows的vmnet1网卡（hostonly模式），如何才能连接到内网使Windows上的Xshell连接上Web服务器呢？也许我们可以通过设置firewall网关服务器DNAT策略实现，我们通过在firewall网关服务器上配置端口2234(随机端口)与Web服务器的22号端口产生映射关系（DNAT策略），我们通过Windows访问firewall的2234端口即可访问Web服务器的22号端口（SSH协议），就能通过Xshell连接上Web服务器。

因此我们可以得知，我们可以通过不同的端口号发布内网不同的服务器（如Mysql、redis、nginx等）

DNAT策略配置文件：

[root@router nat]# cat snat_dnat.sh 
#!/bin/bash

#enable  routing
echo 1 >/proc/sys/net/ipv4/ip_forward

############# stop firewall and clear iptables rule
service firewalld  stop

iptables -F
iptables -t nat -F

###########enable snat
iptables -t nat  -A POSTROUTING  -s 192.168.91.0/24  -o ens33  -j SNAT  --to-source  192.168.2.138
###########enable dnat
iptables -t nat  -A PREROUTING   -d 192.168.2.138 -i ens33  -p tcp  --dport 80  -j DNAT  --to-destination 192.168.91.80:8000

#open ssh 2233 --->192.168.91.80 22
iptables  -t nat -A PREROUTING   -d  192.168.2.138  -i ens33  -p tcp  --dport 2233 -j DNAT  --to-destination 192.168.91.80:22

# expose  mysql
iptables  -t nat -A PREROUTING   -d  192.168.2.138  -i ens33  -p tcp  --dport 33060 -j DNAT  --to-destination 192.168.91.81:3306

#EXPOSE  redis
iptables  -t nat -A PREROUTING   -d  192.168.2.138  -i ens33  -p tcp  --dport 6397 -j DNAT  --to-destination 192.168.91.83:6397

[root@router nat]#