iptables防火墙（二）

最新推荐文章于 2023-02-16 15:49:09 发布

原创最新推荐文章于 2023-02-16 15:49:09 发布 · 465 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #服务器 #运维

本文详细介绍了SNAT（源地址转换）和DNAT（目标地址转换）策略在局域网共享上网和发布内网服务器中的应用。SNAT用于让局域网主机共享单个公网IP上网，而DNAT则用于将公网流量导向内网特定服务器。通过iptables命令配置SNAT和DNAT转换规则，可以实现动态IP共享和内网服务对外发布。同时，正确配置SNAT和DNAT规则是确保数据包正确返回的关键。

一.SNAT策略及应用

1.SNAT策略概述

（1）SNAT策略的典型应用环境

局域网主机共享单个公网IP地址接入Internet

（2）SNAT策略的原理

- 源地址转换，Source  Network  Address  Translation

- 修改数据包的源地址

2.SNAT的典型应用环境

局域网共享上网

在这里插入图片描述

3.SNAT策略的工作原理

未作SNAT转换时的情况

在这里插入图片描述

进行SNAT转换后的情况

在这里插入图片描述

4.SNAT策略的应用

（1）前提条件

- 局域网各主机正确设置IP地址/子网掩码

- 局域网各主机正确设置默认网关地址

- Linux网关支持IP路由转发

（2）实现方法
编写SNAT转换规则

在这里插入图片描述

5.共享动态IP地址上网

MASQUERADE——地址伪装

- 适用于外网IP地址非固定的情况

- 对于ADSL拨号连接，接口通常为ppp0、ppp1

- 将SNAT规则改为MASQUERADE即可

在这里插入图片描述

二.DNAT策略及应用

1.DNAT策略概述

（1）DNAT策略的典型应用环境

- 在Internet中发布位于企业局域网内的服务器

（2）DNAT策略的原理

- 目标地址转换，Destination  Network  Address  Translation

- 修改数据包的目标地址

2.DNAT的典型应用环境

在Internet中发布内网服务器

在这里插入图片描述

3.DNAT策略的工作原理

进行DNAT转换后的情况

在这里插入图片描述

4.DNAT策略的应用

（1）在Internet中发布内网服务器

在这里插入图片描述

（2）前提条件

- 局域网的Web服务器能够访问Internet

- 网关的外网IP地址有正确的DNS解析记录

- Linux网关支持IP路由转发

（3）实现方法

- 编写DNAT转换规则

在这里插入图片描述

（4）发布时修改目标端口

在DNAT规则中以“IP:PORT"的形式指定目标地址

在这里插入图片描述

三.规则的导出、导入

SNAT转换1:固定的公网IP地址:
#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                    可换成单独IP  出站 外网网卡            外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                        内网IP   出站 外网网卡                    外网IP或地址池
												
SNAT转换2:非固定的公网IP地址(共享动态IP地址):
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

DNAT转换1:发布内网的Web服务
#把从ens37进来的要访问web服务的数据包目的地址转换为192.168.100.13
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.13
或                                入站     公网IP                                  内网服务器IP
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.13
                              入站          公网IP             端口                           内网服务器IP
							                                                                  注：默认时80

回包
iptables -t nat -A POSTROUTING  -s 192.168.100.13 -o ens37 -j SNAT --to 10.0.0.1
										内网IP	出站外网网卡			外网地址

入站外网网卡外网IP
内网服务器IP
iptables -t nat -A PREROUTING -i ens37 -p tcp --dport 80 -j DNAT --to 192.168.100.13-192.168.100.20
																			地址段
DNAT转换2:发布时修改目标端口
#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.100.13:22
							入站外网网卡    外网IP           外网远程端口			 内网IP和远程端口号
#在外网环境中使用SSH测试
ssh -p 250 root@10.0.0.1  

yum -y install net-tools    #若没有ifconfig 命令可提前使用yum 进行安装
ifconfig ens33

iptables -nvL -t nat  查看


注意:使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回