日常运维（四）

2019独角兽企业重金招聘Python工程师标准>>>

一 iptables filter表案例

    1、 

    #！/bin/bash    //脚本语言的默认起始行

    ipt="/usr/sbin/iptables"    //定义变量

    $ipt -F  //清空原有规则

    $ipt -P INPUT DROP  //默认丢弃入方向的包

    $ipt -P OUTPUT ACCEPT  //默认接收出方向的包

    $ipt -P FORWARD ACCEPT  

    $ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  //入方向增加对指定状态包方向，这条规则可以让通信更加顺畅

    $ipt -A INPUT -s 192.168.133.0/24 -p tcp --dport 22 -j ACCEPT   // 0-24网段的22端口放行

    $ipt -A INPUT -p tcp --dport 80 -j ACCEPT   //80端口数据包放行

    $ipt -A INPUT -p tcp --dport 21 -j ACCEPT  //21端口数据包放行

二 iptables nat表应用

    1、让B机器连接外网

        1）准备好两台机器，给两台机器分配网卡

        我已有两台机器，克隆3充当A机器的角色，克隆1充当B机器的角色

    2）给A机器分配网卡

    当前我的A机器已有一块外网网卡，还需要新增一块内网网卡

完成后，再更改网卡设置

给新网卡选择新加的LAN区段1，相当于给A机器连上了一台内网交换机，

给B机器也进行相同的操作，这样AB机器就处于同一内网环境中了，注意需要将B机器原来的外网网卡禁用，如下图

准备完毕，启动AB两台机器

    3）给A机器的内网网卡添加IP

        # ifconfig ens37 192.168.100.1/24

这种方法添加的IP是临时的，一旦设备重启，IP就没有了，如果想永久生效，需要拷贝并修改配置文件

再用同样的方法给B机器添加IP

至此，准备 OK

    4）在A机器上打开路由转发

        打开路由转发需要将文件/proc/sys/net/ipv4/ip_forward文件的内容从默认的0修改为1，如下：

    5）给A机器增加一条规则

        # iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

    这条命令是给A机器做一个欺骗，使192.168.100.0这个网段的机器都能上网

    6）B机器上设置网关

        给B机器增加默认网关192.168.100.1，后，再让B机器ping外网的网关192.168.133.1就能ping通，意味着B机器能上网了。

2、让C机器能远程连接B机器的22端口

    前面的实验中C机器是可以连接A机器的，但不能直接连接B机器，现在我们来实现让C机器也能远程连上B机器，这里要使用到端口映射

    1）给A机器打开路由转发

        打开路由转发需要将文件/proc/sys/net/ipv4/ip_forward文件的内容从默认的0修改为1，如下：

    2）删除需求1中写的规则，以免影响新写的规则

    3）新增两条规则

        # iptables -t nat -A PREROUTING -d 192.168.133.130 -p tcp --dport 1122 -j DNAT --to 192.168.100.100:22   //将从C机器来的包经A机器的1122端口转发到B机器的22端口

            # iptables -t nat -A POSTROUTING -s 192.168.100.100 -j SNAT --to 192.168.133.130  //将B机器返回的包发送到A机器上

    4）B机器上设置网关

        给B机器增加默认网关192.168.100.1后，再让B机器ping外网的网关192.168.133.1就能ping通，意味着B机器能上网了，同时从C机器上也能远程登录B机器的22端口了

 

 

 

 

 

 

 

 

转载于:https://my.oschina.net/u/3746774/blog/1613244