Linux防火墙iptables之SNAT与DNAT

已于 2022-04-27 18:25:43 修改
阅读量3k 收藏 6
点赞数 2
文章标签： 云计算 服务器 运维 linux centos
于 2022-04-24 21:32:29 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/sukapulai/article/details/124368062
版权
本文详细介绍了Linux防火墙iptables中的SNAT和DNAT策略及其应用场景。通过实例展示了如何配置SNAT进行固定和动态公网IP转换，以及DNAT发布内网Web服务，同时讲解了IP转发、iptables规则的备份与还原以及tcpdump的使用方法。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

目录

SNAT策略及应用

SNAT策略概述

开启SNAT的命令

临时打开

永久打开

SNAT转换1:固定的公网IP地址

SNAT转换2:非固定的公网IP地址(共享动态IP地址)

SNAT案例

实验准备

配置网关服务器（192.168.217.254/12.0.0.254）的相关配置

配置外网服务器（12.0.0.12）的相关配置

修改客户端

ping一下网关和外网服务器

开启ip转发功能

实验内外网访问

配置网关服务器的iptables规则

小知识扩展

DNAT策略与应用

DNAT应用环境

DNAT原理

DNAT转换前提条件

DNAT转换1∶ 发布内网的Web服务

DNAT转换2∶ 发布时修改目标端口

DNAT案例

修改客户端

修改内网服务器

在网关服务器添加iptables规则

测试外网是否能访问内网

规则的备份及还原

tcpdump—Linux抓包

SNAT策略及应用

SNAT策略概述

SNAT 应用环境

局域网主机共享单个公网IP地址接入Internet （私有IP不能在Internet中正常路由

SNAT原理

源地址转换，Source Network Address Translation

修改数据包的源地址

SNAT转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认网关地址

Linux网关开启IP路由转发

开启SNAT的命令

查看当前服务器的路由表

临时打开

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

永久打开

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1                #将此行写入配置文件
 
sysctl -P                #读取修改后的配置

SNAT转换1:固定的公网IP地址

#配置SNAT策略，实现snat功能，将所有192.168.217.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.217.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                                         可换成单独IP   出站外网网卡                  外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.217.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                                                   内网IP   出站外网网卡                                            外网IP或地址池

SNAT转换2:非固定的公网IP地址(共享动态IP地址)

iptables -t nat -A POSTROUTING -s 192.168.127.0/24 -o ens33 -j MASQUERADE

SNAT案例

实验准备

配置网关服务器（192.168.217.254/12.0.0.254）的相关配置

添加一块网卡

复制并修改ens36卡

#切换至网卡配置文件所在目录
[root@localhost network-scripts]#cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]#cp ifcfg-ens33 ifcfg-ens36

修改ens33网卡

修改ens36网卡

重启网卡

配置外网服务器（12.0.0.12）的相关配置

修改ens33网卡

重启网卡

如果有多张网卡

最低0.47元/天 解锁文章
sukapulai
关注
iptables之SNAT与DNAT
qq1356059950的博客
05-17 673
iptables之SNAT与DNAT前言一、SNAT策略及应用(1)SNAT策略概述①SNAT应用环境②SNAT的策略原理③SNAT转换前提条件(2)开启SNAT命令(3)SNAT案例二、DANT原理与应用(1)DNAT概述①DNAT应用环境②DNAT原理③DNAT转换前提条件(2)开启DNAT命令(3)DNAT转化(4)临时修改目标端口DNAT案例 前言 一、SNAT策略及应用 (1)SNAT策略概述 ①SNAT应用环境 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中
【Linux防火墙iptables之SNAT与DNAT】
zhangyuanzhangy的博客
06-16 221
SNAT应用环境:局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由)SNAT原理:源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射SNAT转换前提条件:1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址2.Linux网关开启IP路由转发 2.2永久打开 2.3SNAT转换1:固定的公网工P地址: 2.4SNAT转换2:非固定的公网IP地址(共享动态IP地址) 二、DNAT策略与应用 1.DNAT应用环境 在Internet中发布位于局
【计算机网络】Linux配置SNAT/DNAT策略
最新发布
Freesia_2350的博客
04-05 621
snat复习
防火墙 iptables（二）-------------SNAT与DNAT搭建
zzzxxx520369的博客
02-17 2106
内网主机通过网关服务器的SNAT转换实现访问外网不经过nat的地址为PC1（centos1）自己的地址，使用虚拟机环境才会出现这种情况，市场环境是不通的。经过nat之后的地址是公司的公网ip地址，由网关服务器iptables规则SNAT实现。
iptables 防火墙中的SNAT和DNAT
WuDan_1112的博客
05-11 1771
前言 通过上一章的学习，我们认识了防火墙的表、链结构，并学会了简单的编写防火墙的规则。Linux 防火墙在很多的时候承担着连接企业内、外网的重任，除了提供数据包过滤以外，还提供一些基本的网关应用。下面我们将了解防火墙中的SNAT 和DNAT策略。 一、SNAT策略 1.1 SNAT应用环境 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由） 1.2 SNAT原理 源地址转换（Source Network Address Translation），根据指
iptables的snat与dnat
weixin_33905756的博客
11-09 104
2019独角兽企业重金招聘Python工程师标准>>> ...
防火墙iptables 之 SNAT和DNAT
qq_64333664的博客
09-26 562
（1）tcp∶ ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。Net：网段，host：主机。（8）-w ./target.cap ∶ 保存成cap文件，方便用ethereal （即wireshark）分析。（4）-s 0 ∶ 抓取数据包时默认抓取长度为68字节。：192.168.100.102（nat1）、关闭防火墙和selinux、开启http服务。ip：12.0.0.1（nat2）、关闭防火墙和selinux、开启http服务。
Linux系统iptables应用SNAT和DNAT
EsDeath_99的博客
06-24 1054
局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)
iptables防火墙之SNAT与DNAT
gfbcdgbb的博客
03-19 1337
局域网主机共享单个公网IP地址接入Internet。
iptables DNAT详解
热门推荐
韦编二绝
07-22 1万+
文章出处：http://hi.baidu.com/allenspace/blog/item/cbba05f3b41c5dcb0b46e0ef.html/cmtid/4259a264aa35ecfcf636545f   DNAT target     这个target是用来做目的网络地址转换的，就是重写包的目的IP地址。如果一个包被匹配了，那么和它属于同一个流的所有的包都会被自动转换，然后就可
iptables SNAT DNAT实战
kuangfeng的博客
05-12 529
iptables SNAT DNAT实战
Linux防火墙——iptables（SNAT与DNAT详细）
oyyy3的博客
11-02 7670
一.SNAT 1.原理 原理：源地址转换，修改数据包中的源IP地址 作用：可以实现局域网共享上网 配置的表及链：nat表中的POSTROUTING 2.转换前提条件 局域网各主机已正确设置IP地址、子网掩码、默认网关地址 Linux网关开启IP路由转发 linxu想系统本身是没有转发功能 只有路由发送数据 tips:一个IP地址做SNAT转换，一般可以让内网100到200 台主机实现上网 临时打开: echo 1 > /proc/sys/net/ipv4/ip_forw...
Iptables之SNAT和DNAT
nnn717的博客
05-10 286
文章目录1 SNAT1.1SNAT原理2 DNAT2.1 DNAT原理3 实验DNAT和SNAT加分离解析 1 SNAT 1.1SNAT原理 SNAT 应用环境 局域网主机共享单个公网IP地址接入Internet （私有IP不能在Internet中正常路由 SNAT原理 源地址转换 修改数据包的源地址 SNAT转换前提条件 局域网各主机已正确设置IP地址、子网掩码、默认网关地址 Linux网关开启IP路由转发 临时打开 echo 1 >/proc/sys/net/ipv4/ip_forward 或
利用iptables实现SNAT及DNAT
weixin_34001430的博客
12-04 229
SNAT//此时filter表上的FORWARD链要打开(会经过此表中的此链) [root@nat~]#iptables-tnat-F [root@nat~]#iptables-tnat-L-n [root@nat~]#iptables-tnat-APOSTROUTING-s10.1.249.158-jSNAT--to-...
iptables 防火墙（二）——SNAT、DNAT
Katie_ff的博客
06-12 1846
SNAT又称源地址转换。源地址转换是内网地址向外访问时，发起访问的内网ip地址转换为指定的ip地址就是把内网地址转成指定的IP地址，这个iP地址可以访问公网。
iptables防火墙SNAT和DNAT
Hard work results, technology is willing to dream
02-10 1582
iptables防火墙SNAT和DNAT
iptables SNAT/DNAT测试
weixin_34378045的博客
07-15 858
环境：CentOS 6.4（最小化安装）SNAT测试：地址规划：NodeIP addressGWEndUser192.168.101.241/24192.168.101.1iptableseth1:192.168.101.1/24eth0:192.168.100.242/24192.168.100.1EndUser：[root@EndUser~]#tail-n5/e...
iptables的SNAT和DNAT
03-08
<think>好的，我现在需要给用户介绍一下iptables中的SNAT和DNAT。首先，我得回忆一下自己对这两个概念的理解，确保没有混淆。SNAT是源地址转换，DNAT是目的地址转换，对吗？对的，我记得SNAT主要用于当内部网络的主机访问外部网络时，修改源IP地址，通常是用来共享一个公网IP出口。而DNAT则是当外部网络的主机访问某个公网IP的特定端口时，将其转发到内部网络的某个服务器上，比如端口映射。 接下来，我需要考虑用户可能的背景。用户可能对iptables有一定了解，但需要明确区分这两个NAT类型，或者是在配置网络时遇到了问题。需要从基本概念入手，解释两者的用途和典型应用场景，同时给出实际例子，这样用户更容易理解。 需要确认SNAT和DNAT在iptables中的具体应用链。SNAT一般用在POSTROUTING链，而DNAT用在PREROUTING链。这是因为SNAT是在路由之后修改源地址，而DNAT是在路由之前修改目标地址，确保数据包能正确路由到内部主机。 同时，应该提到MASQUERADE，这是SNAT的一种特殊形式，适用于动态IP的情况，比如拨号上网。而DNAT常用于将外部请求转发到内部的Web服务器或SSH服务器。 还要注意语法格式，比如SNAT的--to-source和DNAT的--to-destination，以及相应的端口映射示例。比如，将外部的80端口请求转发到内网服务器的8080端口。 可能会遗漏一些细节，比如conntrack模块的作用，或者需要开启IP转发功能（net.ipv4.ip_forward=1）。这些虽然不是核心概念，但对于实际配置成功很重要，应该提到。 用户可能想知道什么时候用SNAT，什么时候用DNAT，所以需要明确两者的区别：SNAT改的是发出数据包的源地址，DNAT改的是接收数据包的目标地址。典型的SNAT用例是让多个内网设备通过一个公网IP上网，而DNAT用于从外部访问内网服务。 最后，结构要清晰，分点解释，给出示例命令，并总结两者的区别和常见应用场景，这样用户能快速抓住重点。</think>**iptables的SNAT与DNAT详解** **1. 核心概念对比** - **SNAT（Source NAT）** - 作用：修改数据包源地址 - 典型场景：内网设备共享公网IP访问互联网 - 生效阶段：`POSTROUTING`链（路由决策之后） - 特点：需指定固定IP（如 `--to-source 202.96.128.5`） - **DNAT（Destination NAT）** - 作用：修改数据包目标地址 - 典型场景：公网访问内网服务器 - 生效阶段：`PREROUTING`链（路由决策之前） - 特点：支持端口映射（如 `--to-destination 192.168.1.10:8080`） **2. 配置示例** ```bash # SNAT示例（静态IP环境） iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 202.96.128.5 # SNAT动态IP场景（ADSL拨号） iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE # DNAT端口映射（外部80转内部8080） iptables -t nat -A PREROUTING -d 202.96.128.5 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:8080 ``` **3. 关键实现原理** - **连接跟踪机制**：依赖`conntrack`模块记录NAT前后的连接状态 - **双向地址转换**：自动处理响应数据包的逆向转换 - **路由决策时机**： - DNAT在路由前修改目标地址，影响后续路由路径 - SNAT在路由后修改源地址，保证出站路径正确 **4. 典型应用场景** - SNAT常见用途： - 企业内网共享上网 - 多服务器负载均衡出口 - 隐藏真实客户端IP - DNAT常见用途： - 家庭宽带映射游戏服务器 - 云服务器端口转发 - 反向代理后端服务 **5. 必要系统配置** ```bash # 启用IP转发（永久生效需修改/etc/sysctl.conf） echo 1 > /proc/sys/net/ipv4/ip_forward ``` **6. 流量路径示意图** ``` 外部访问DNAT流程： 互联网 → 防火墙PREROUTING(DNAT) → 路由决策 → 内网服务器 内部访问SNAT流程： 内网主机 → 路由决策 → 防火墙POSTROUTING(SNAT) → 互联网 ``` **7. 诊断命令** ```bash # 查看NAT表规则 iptables -t nat -nvL --line-numbers # 监控NAT连接状态 conntrack -E ``` **注意**：实际部署时需同步考虑安全策略，建议
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值