iptables实现网络防火墙(二)——SNAT与DNAT


iptables实现网络防火墙(二)——SNAT与DNAT



 Published On October 23, 2017

前言

   在前面的文章中,我们曾经简单的介绍过Linux内核中防火墙的基本概念,以及四表五链的相关知识,可参看 LINUX 防火墙介绍。 并且也介绍了如何在Linux环境中搭建一个能够过滤协议和端口的简单网络防火墙,可以参看Linux实现网络防火墙(一)
   在实际生产应用中,防火墙的功能纷繁复杂,就像我们之前介绍的四表五链,以及数据包的流向,在实际应用中都是有着关键性的作用的。今天要介绍的SNAT和DNAT就是构建防火墙规则中几个个重要应用。其中DNAT在LVS集群应用中也有着很重要的作用,这一点我们以后再说。

什么是SNAT和DNAT呢

   NAT(Network Address Translation),又称作网络地址转换,顾名思义,就是在网络数据的传输过程中,对网络地址进行转换以达到网络数据传输的目的。相关详细的解释可以参考(网络地址转换–维基百科)
   SNAT(源地址转换)和DNAT(目标地址转换) 是在防火墙中,对NAT的两种应用方式。前面我们介绍过,防火墙中有四个表,一种一个表就是nat表,这个nat表就是用来对包地址进行管理的。

SNAT

   SNAT 只的是在网络传输过程中,将源地址进行转换。我们都知道,在访问互联网的过程中,网络是以数据包的形式进行传输的,而数据包中包含了目标地址和源地址,这样,就能够保证我们请求的服务器在处理数据之后,数据还能够返回。SNAT就是将数据包中源目标地址进行了转换。
  IPV4地址数量,有限,但是全球各地却有着大量的计算机能够进入到互联网访问资源,这里使用的就是SNAT地址转换。
  在一个公司内部搭建了局域网,局域网内的用户想要访问互联网就需要使用SNAT技术进行地址转换,同时由于源地址发生了变化,也相对的提升了局域网内主机的安全。

   SNAT 的网络拓扑结构如下所示。备注,图中所注的IP地址为笔者实验环境的IP地址,只为增加理解,顺便进行下面的实验,实际生产中,IP地址应该会有所不同。

环境说明

担任角色系统环境主机名地址功能描述
WEB服务器CentOS 7web172.18.3.77提供web服务
Linux防火墙CentOS 7iptables172.18.2.77 192.168.2.77定义防火墙规则
局域网用户CentOS 6lan192.168.2.66访问互联网

SNAT的网络结构拓扑

  只有在局域网内的主机请求互联网上的服务时,才会发生源地址转换,结合下面的数据流转过程就会很容易理解。

SNAT 数据流向

DNAT

   如果我们在局域网内部署了一套WEB服务,但是我们想在互联网上进行访问,这时应该如何解决。对于公司来说,可能只有一个ipv4地址链接了互联网。
   这时就需要使用到DNAT,也就是目标地址转换。从下面的网络拓扑图中我们可以看到,互联网上的主机想要访问局域网内部的网络服务,具有外部网络地址的防火墙或者路由来进行。

担任角色系统环境主机名地址功能描述
互联网用户CentOS 7web172.18.3.77访问局域网内web服务
Linux防火墙CentOS 7iptables172.18.2.77 192.168.2.77定义防火墙规则
局域网WEB服务CentOS 6lan192.168.2.66提供web服务

DNAT数据流程

如何在防火墙上定义NAT规则?

  上面介绍了许多关于SNAT和DNAT的相关概念,那么在防火墙中应该如何定义NAT规则呢?
  在之前的文章中,我们知道NAT表能够影响的由四个链,分别是PREROUTING链,INPUT链,OUTPUT链,POSTROUTING链,根据前面的图示以及我们的分析,可以总结出,SANT的防火墙过滤规则应该定义在POSTROUTING链上,而DNAT防火墙的过滤转发规则应该定义在PREROUTING链上,这样就能够将网络请求进行转发了。

实验实现SNAT

实验环境

清除防火墙的过滤规则,关闭SELinux
开启防火墙的路由转发功能,确保局域网内用户能够ping通互联网服务。
进行网络测试


清除防火墙过滤规则
[root@iptables ~]#iptables -F 

 开启转发功能
[root@iptables ~]#echo 1 > /proc/sys/net/ipv4/ip_forward

 局域网内用户可以ping通互联网
[root@lan ~]$ping 172.18.3.77
PING 172.18.3.77 (172.18.3.77) 56(84) bytes of data.
64 bytes from 172.18.3.77: icmp_seq=1 ttl=63 time=1.00 ms
64 bytes from 172.18.3.77: icmp_seq=2 ttl=63 time=1.52 ms


 局域网内用户可以访问互联网
[root@lan ~]$curl http://172.18.3.77
www.google.com



实验过程

首先对192.168.2网段的请求进行SNAT地址转换,转换后的源地址变为172.18.2.77

[root@iptables ~]#iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to-source 172.18.2.77


# 查看一下nat表的防火墙规则
[root@iptables ~]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 1 packets, 229 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 1 packets, 229 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 SNAT       all  --  *      *       192.168.2.0/24       0.0.0.0/0            to:172.18.2.77


从局域网内部访问互联网的服务,还是可以正常访问


[root@lan ~]$curl http://172.18.3.77
www.google.com

在互联网的那台主机上查看一下最近的访问记录,可以看到最近的一条访问信息是由172.18.2.77访问而来的,这说明,发生了网络地址转换。


[root@web ~]#tail -1 /var/log/httpd/access_log
172.18.2.77 - - [23/Oct/2017:15:46:35 +0800] "GET / HTTP/1.1" 200 15 "-" "curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.21 Basic ECC zlib/1.2.3 libidn/1.18 libssh2/1.4.2"


总结一下SNAT的命令格式


iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j SNAT --to-source ExtIP

实验实现DNAT

实验环境

清除SNAT实验里设置的各种过滤规则。
互联网的主机,能够访问防火墙主机,但是不能够访问局域网内的网络服务,通过防火墙的外网IP也不能够访问。


# 直接访问内网服务不可行
[root@web ~]#curl http://192.168.2.66
curl: (7) Failed to connect to 192.168.2.66: Network is unreachable

# 通过防火墙的外网IP访问也不行
[root@web ~]#curl http://172.18.2.77
curl: (7) Failed connect to 172.18.2.77:80; Connection refused


# 可以访问到防火墙的地址
[root@web ~]#ping 172.18.2.77
PING 172.18.2.77 (172.18.2.77) 56(84) bytes of data.
64 bytes from 172.18.2.77: icmp_seq=1 ttl=64 time=0.857 ms
64 bytes from 172.18.2.77: icmp_seq=2 ttl=64 time=0.642 ms



实验过程

根据之前,我们的讨论,我们应该在nat表的PREROUTING链上添加策略,将访问公网地址(172.18.2.77)的请求转发到内网地址(192.168.2.66)。


[root@iptables ~]#iptables -t nat -A PREROUTING -d 172.18.2.77 -p tcp --dport 80 -j DNAT --to-destination 192.168.2.66:80

# 查看一下建立好的规则
[root@iptables ~]
#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 7 packets, 1351 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            172.18.2.77          tcp dpt:80 to:192.168.2.66:80

Chain INPUT (policy ACCEPT 7 packets, 1351 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         


此时,再从互联网主机通过外网IP访问局域网内服务的话,就能够看到不一样的结果。



[root@web ~]#curl http://172.18.2.77
LAN SERVER


查看局域网内的web服务器的访问日志,就可以看到有一条由外网主机访问到的记录。

[root@lan ~]$tail -1 /var/log/httpd/access_log 
172.18.3.77 - - [25/Sep/2017:07:34:18 +0800] "GET / HTTP/1.1" 200 11 "-" "curl/7.29.0"

至此DNAT的防火墙策略就已经配置完成了。

总结一下DNAT的命令格式


iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp --dport PORT -j DNAT --to-destination InterSeverIP[:PORT]

经过上面的配置和学习,我们搭建了简单的网络防火墙。实际生产中可以根据自己的实际情况进行更加详细的设置。

资料参考

本文部分思路和图示参考自以下博客,在此致敬。

http://ximenfeibing.blog.51cto.com/8809812/1652136/

博客转载自 http://www.pojun.tech

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值