iptables 中的NAT使用总结

最新推荐文章于 2024-04-06 02:33:27 发布
最新推荐文章于 2024-04-06 02:33:27 发布
阅读量1.5w 收藏 25
点赞数 5
分类专栏： linux-基础
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/suiyuan19840208/article/details/8448709
版权

   首先对SNAT DNAT进行概念介绍：

SNAT：源地址转换

目标地址不变，重新改写源地址，并在本机建立NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机

目前大多都是解决内网用户用同一个公网地址上网的情况

DNAT：目标地址转换

和SNAT相反，源地址不变，重新修改目标地址，在本机建立NAT表项，当数据返回时，根据NAT表将源地址修改为数据发送过来时的目标地址，并发给远程主机

在DNAT的基础上，可以根据请求数据包的端口做PNAT（端口转换，也称为端口映射），可以更句请求数据包不同的端口改写不同的目标地址，从而发送给不同的主机

1. 源NAT(SNAT)

比如，更改所有来自192.168.1.0/24的数据包的源ip地址为1.2.3.4:

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 1.2.3.4

这里需要注意的是，系统在路由及过虑等处理直到数据包要被送出时才进行SNAT。

有一种SNAT的特殊情况是ip欺骗，也就是所谓的Masquerading，通常建议在使用拨号上网的时候使用，或者说在合法ip地址不固定的情况下使用。比如

# iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

可以看出，这时候我们没有必要显式的指定源ip地址等信息。

2. 目的SNAT(DNAT)

比如，更改所有来自192.168.1.0/24的数据包的目的ip地址为1.2.3.4:

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -j DNAT --to 1.2.3.4

这里需要注意的是，系统是先进行DNAT，然后才进行路由及过虑等操作。



1: SNAT

    即我们通常所说的NAT代理，内部主机可以通过NAT来访问internet,如图：

    

    192.168.1.100发出的数据包源地址为192.168.1.100,到nat主机以后，因为目标不是本机，所以进行转发，在POSTROUTING这步将源地址改为nat主机的公网IP，当数据传回到nat主机的时候，Nat再将数据包的目标地址改为192.168.1.100，然后发到100这台主机上去，如图：

    

    

2: DNAT

    当internet主机要访问内网主机的服务的时候，需要使用DNAT，如图：

    

    61网段的主机访问192.168.1.210的web服务的时候，会将数据包发送给nat服务器，nat服务器在PREROUTING这步将数据包的目标地址修改为192.168.1.210，192.168.1.210传回数据报时，数据包的源地址在nat主机的POSTROUTING这步改为nat主机的公网地址。

iptables nat 原理同filter表一样，nat表也有三条缺省的"链"(chains)：

  • PREROUTING:目的DNAT规则

把从外来的访问重定向到其他的机子上，比如内部SERVER，或者DMZ。
因为路由时只检查数据包的目的ip地址，所以必须在路由之前就进行目的PREROUTING DNAT;
系统先PREROUTING DNAT翻译——>再过滤（FORWARD）——>最后路由。
路由和过滤（FORWARD)中match 的目的地址，都是针对被PREROUTING DNAT之后的。

  • POSTROUTING:源SNAT规则

在路由以后在执行该链中的规则。
系统先路由——>再过滤（FORWARD)——>最后才进行POSTROUTING SNAT地址翻译
其match 源地址是翻译前的。

  • OUTPUT:定义对本地产生的数据包的目的NAT规则



========================内网访问外网 -J SNAT============================

-j SNAT
-j SNAT：源网络地址转换，SNAT就是重写包的源IP地址
SNAT 只能用在nat表的POSTROUTING链里
only valid in the nat table, in the POSTROUTING chain.

-j SNAT --to-source ipaddr[-ipaddr][:port-port]
ipaddr:

  • a single new source IP address
  • range of IP addresses
  • or you can add several --to-source options. a simple round-robin takes place between these adresses.

port range(only valid if the rule also specifies -p tcp or -p udp)
If no port range is specified, then source ports below 512 will be
mapped to other ports below 512


-j MASQUERADE
用于外网口public地址是DHCP动态获取的（如ADSL）

iptables -t nat -A POSTROUTING –o eth1 –s 192.168.1.0/24 –j MASQUERADE
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE



MASQUERADE --to-ports port[-port]
only valid if the rule also specifies -p tcp or -p udp.


固定public 地址（外网接口地址）的最基本内访外SNAT

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to 你的eth0地址



多个内网段SNAT,就是多条SNAT语句即可

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE



非外网口地址为NAT用，必须先要绑定到接口上，如eth0 :1,eth0 :2




=======================外网访问内网 –J DNAT===========================


DNAT
only valid in PREROUTING
--to-destination ipaddr[-ipaddr][:port-port]
DNAT：目的网络地址转换，重写包的目的IP地址

典型的DNAT的例子

外部接口ip：210.83.2.206
内部接口ip：192.168.1.1

ftp服务器　：　ip 192.168.1.3
web服务器　：　ip 192.168.1.4
iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 21 -j DNAT --to 192.168.1.3
iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 80 -j DNAT --to 192.168.1.4




DNAT静态映射
IPTABLES没有CISCO那种static map


DNAT用于内部SERVER的load-balance（即CISCO的rotery）

iptables –t nat –A PREROUTING –d 219.142.217.161 –j DNAT --to-destination 192.168.1.24-192.168.1.25



DNAT 带端口映射(改变SERVER的端口)
一个FTP SERVER从内部192.168.100.125:21映射到216.94.87.37:2121的例子

iptables -t nat -A PREROUTING -p tcp -d 216.94.87.37 --dport 2121 -j DNAT --to-destination 192.168.100.125:21

通常外网DNAT访问内网SERVER，内网SERV ER回包的源地址是经过另一个单独的SNAT进程的。而不属于DNAT STATIC进程的一部分。
这样对于P-t-P的网络应用，就必须另设一个和DNAT相适应的SNAT。
对于穿过NAT，被NAT映射改变端口号的应用，也必须用一个单独的SNAT对回包的端口进行映射

iptables -t nat -A POSTROUTING -p tcp -s 192.168.100.125 --sport 21 -j SNAT --to-source 216.94.87.37:2121

不这样做的话，FTP SERVER会返回21到外网的客户机，外网用户发出一个to 2121的FTP request,收到一个from 21的，会不认
上面的好象不必，做过实验了：

/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22



DNAT照样要做RULE，DNAT只是翻译，仍要做ACCEPT。（而且注意是FORWARD，不是INPUT）

/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 22 -j ACCEPT

##########NAT CHAIN###############
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000




DNAT的FORWARD RULE总是出错，原来：DNAT RULE是在PREROUTING语句之后执行的，即DNAT RULE要match翻译过来的新接口号
一开始按翻译前的原始接口做RULE，发觉9000和9001都通过，但2022总通不过

/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 2022 -j ACCEPT

##########NAT CHAIN###############
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000

后来发现原来9000和9001都是端口不变的翻译，只有2022是由2022到22的翻译。
而FORWARD是在PREROUTING执行后执行的，此时2022已经被翻译成22了，当然不匹配2022那个rule了
改正：

/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 22 -j ACCEPT





================NAT troubleshooting=============================

-i ，-o 参数在NAT中的用途
对于PREROUTING链，只能用-i,通常是外网口
对于POSTROUTING和OUTPUT，只能用-o，通常也是外网口

linux iptables通常都用外网口地址做NAT public地址
用非外网口的同网段地址做DNAT public地址，失败
失败原因是，非外网口地址为DNAT用，必须要绑定到接口上，如eth0 :1,eth0 :2

连续public 地址SNAT （也要先绑定到子接口上eth0:x）

iptables –t nat –A POSTROUTING –s 192.168.1.0 –j SNAT --to-source 219.142.217.161-219.142.217.166

一段连续的地址，这样可以实现负载平衡。每个流会被随机分配一个IP。


不存在所谓的PAT。理由：没有PAT相关的RFC
PAT是CISCO自己的概念

Linux实现的就是完整的NAT和NAPT（可以进行端口替换，参见RFC3022）
但是端口并没有bind到本地协议栈上。所以不受本地端口资源65535的限制。

源端口必须>1024

iptables –t nat –A POSTROUTING -p tcp,udp –s 192.168.1.0 –j SNAT --to-source 219.142.217.161:1024-32000

这样包的源端口就被限制在1024-32000了


端口转换限定

iptables –A POSTROUTING –o eth1 –s 192.168.1.0/24 –j MASQUERADE --to-ports 1024-30000

只转换1024以上低于30000的源端口

对于”内网访问内网SERVER在外网的地址”的特殊处理
o 网内客户机10.4.3.119发起一个访问请求给映射后的地址124.126.86.138（10.4.3.150）
o 防火墙收到这个向124.126.86.138请求后根据策略表匹配发现是一个对内部服务器10.4.3.150映射，防火墙会通过纯路由的方式将数据包转发给服务器 10.4.3.150
o 服务器10.4.3.150收到请求后，发现源地址为10.4.3.119的客户机发来了一个请求，并且这台主机与自己在同一个网段内，于是直接将回应包SYN+ACK发送给主机10.4.3.119（就不再经过FW）
o 10.4.3.119收到这个包后会感觉很奇怪，因为它从来就没有给10.4.3.150发送过连接请求报文（他只给124.126.86.138)发送过，所以就会将回应报文丢弃
解决：增加一个朝向内部网10.4.3.150访问的POSTROUTING SNAT

/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000
/sbin/iptables -t nat -A POSTROUTING -d 10.4.3.150 -j SNAT --to 10.4.0.198
把发往内部server ip 10.4.3.150的包的源地址改成FW内网口地址10.4.0.198
这样就能从内部访问内部SERVER的外部地址




上例的另一种情况：禁止server在内网访问他自己在外网的公有地址
iptables -t nat -A PREROUTING -d 219.142.217.161 -j DNAT --to 192.168.1.24
iptables -t nat -A PREROUTING -d 210.83.2.206 -s ! 192.168.1.24 -p tcp --dport 21 -j DNAT --to 192.168.1.24
-s !内网SERVER地址 DNAT --to 内网server地址


NAT表删除 iptables -t nat -F


家有工程师
关注
  • 5
    点赞
  • 踩
  • 25
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
linux nat
04-27 237
（一）Iptables 的使用语法在使用iptables的NAT功能时，我们必须在每一条规则中使用"-t nat"显示的指明使用nat表。然后使用以下的选项::1. 对规则的操作加入(append) 一个新规则到一个链 (-A)的最后。在链内某个位置插入(insert) 一个新规则(-I)，通常是插在最前面。在链内某个位置替换(replace) 一条规则 (-R)。在链内某个位置删...
iptables实现nat
xiaolubk的专栏
04-02 2994
在使用iptables的NAT功能时，我们必须在每一条规则中使用"-t nat"显示的指明使用nat表。然后使用以下的选项:　　1. 对规则的操作　　加入(append) 一个新规则到一个链 (-A)的最后。　　在链内某个位置插入(insert) 一个新规则(-I)，通常是插在最前面。　　在链内某个位置替换(replace) 一条规则 (-R)。　　在链内某个位置删除(delete) 一条规则
Openwrt旁路由设置vs无法打开国内网站解决方法。_openwrt旁路由无法上网
最新发布
m0_60721584的博客
04-06 1598
遇到这个问题的人挺多的，我也是知其然，不知其所以然，直到看到这位大神的解释，https://cloud.tencent.com/developer/article/2036952，解决了我的大部分疑惑。有兴趣的朋友可以读一读。网上的教程太多，五花八门，修改的地方各不相同，有的根本就不能成功。2、在工作中，运维人员经常需要跟运营人员打交道，请问运营人员是做什么工作的?6、Squid、Varinsh和Nginx有什么区别，工作中你怎么选择?7、Tomcat和Resin有什么区别，工作中你怎么选择?
iptables命令详解和举例
u011029104的专栏
07-07 668
防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代理层的网关。 对于TCP/IP的七层模型来讲，我们知道第三层是网络层，三层的防火墙会在这层对源地址和目标地址进行检测。但是对于七层的防...
iptables总结存档
u011635437的博客
06-28 859
目前我的工作已经比较少去使用linux防火墙了，机房分多区域，生产都在内网使用，庞大的系统也已经无法使用linux的防火墙来隔离机器之间的网络访问关系。iptables的结构由表Tables，链Chains，规则Rules三部分组成。 首先是iptables的表（tables）与链（chains） iptables有Filter, NAT, Mangle, Raw四种内建表： （1）. Filter表 Filter是iptables的默认表，它有如下三种内建的链(chains)： OUTPUT链 ： 就是处
熟练应用snat和dnat，掌握公网私网之间的连通（补充防火墙规则备份以及如何Linux抓包）
qq_45773660的博客
05-25 475
snat与dnat一、SNAT1.1 原理与应用1.2 SNAT转换前提条件1.3 开启snat1.4 转换固定的公网 IP 地址非固定的公网 IP 地址（动态）1.5 补充二、DNAT2.1 原理与应用2.2 DNAT转换前提条件2.3 开启dnat2.4 转换发布内网的Web服务发布时修改目标端口2.5 补充三、防火墙规则备份和还原3.1导出备份表的规则3.2 导入规则3.3 设置自动还原规则四、抓包 一、SNAT 1.1 原理与应用 SNAT应用环境 局域网主机共享单个公网IP地址接入Intern
如何使用iptables和NAT
weixin_43402206的博客
08-25 1868
iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着，所有的防火墙策略规则都被分别写入这些表与链中。
iptables防火墙
白给超人的博客
08-19 1166
IP信息包过滤系统，它实际上由两个组件 netfilter_和 iptables组成。主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。iptables的作用是为包过滤机制的实现提供规则，通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的或具有某些协议特征的数据包应该如何处理，为了更加方便的组织和管理防火墙规则。iptables采用了表和链的分层结构，所以它会对请求的数据包的包头数据进行分析，根据我们预先设定的规则进行匹配来决定是否可以进入主机。
使用iptables进行NAT转发
boyemachao的专栏
07-01 1万+
SNAT转发（代理内网机器上网） 案例1 内网机器B 通过网关A访问百度，设置如下： 网关A配置两个IP ​ 公网ip IP：192.168.1.189/24 内网IP：1.1.1.1/24 开启路由 写入配置文件永久生效 echo 'net.ipv4.ip_forward=1' > /etc/sysctl.conf 强制刷新配置文件，使其生效 sysctl -p 防火墙设置（主要在POSTROUTING链上设置） 将流经网关的数据包的源地址改为192.168.1.189 i
iptables配置NAT实现端口转发与ss命令的讲解
weixin_47680367的博客
08-08 1万+
nat的使用与ss命令
如何用iptables实现NAT
热门推荐
ruixj的专栏
06-14 2万+
准备工作： 1)在使用iptables防火墙之前，必须先打开IP转发功能。# echo “1” > /proc/sys/net/ipv4/ip_forward2)以上内容（第6步生成的内容）保存到 /etc/sysconfig/iptables文件中。3）每修改一次iptables文件后，都要重启iptalbes    # service iptables re
iptables和nat的配置与管理
12-29
iptables和nat的配置与管理，对于iptables的配置与管理都有一定的基础。
linux下设置iptables实现NAT功能
04-14
linux下设置iptables实现NAT功能
iptables 使用总结
07-04
总结了iptables原理，在各个场景下的使用方法，并给出了sh脚本的实现过程
iptables的使用说明 配置nat功能
03-06
配置nat功能，软件实现ip伪装，使用iptables的说明，ubuntu下，嵌入式linux下。
Linux下使用Iptables配置NAT防火墙
06-19
Linux下使用Iptables配置NAT防火墙分析防火墙技术原理和防火墙类别，结合校园网实际设计使用Linux下的Iptables 防火墙NAT 方案，能够实现NAT和对网络进行用户管理和信息过滤，并能防范一定的网络攻击手段和防病毒...
iptables防火墙NAT网络地址转换（SNAT、DNAT）
weixin_47403076的博客
11-30 1886
NAT网络地址转换DNAT策略配置策略SNAT策略配置策略操作实例拓扑图操作流程web服务器配置防火墙配置验证效果 DNAT策略 原理：修改数据包中的目标IP地址 作用：将位于企业局域网中的服务器进行发布 配置在nat表中的PREROUTING链上 互联网主机想访问企业内部的web服务器，但服务器的地址是私有地址，无法直接访问。此时，客户机可以访问防火墙的公网地址，客户机的请求数据包到达防火墙后，在防火墙上将请求数据包的目标地址进行修改，并将数据包发送给服务器。 配置策略 iptables -t nat -
Linux iptables NAT配置
Q先生
09-01 1949
Linux iptables NAT配置1.NAT原理总结1.2 NAT的实现分为下面类型：2.iptables规则持久保存2.1Centos 62.2 Centos7+3. SNAT和DNAT配置语法3.1 SNAT3.2 DNAT 1.NAT原理总结 NAT: (Network Address Translation)支持PREROUTING，INPUT，OUTPUT，POSTROUTING四个链 请求报文： 修改源/目标IP，由定义如何修改 响应报文： 修改源/目标IP，根据跟踪机制自动实现 1.2
iptables（NAT）
weixin_49888561的博客
06-04 1612
被动模式配置：iptables -t nat -A PREROUTING -p tcp -m multiport --dports 21,8001:9000 -j DNAT --to 192.168.10.13。iptabls -t nat -A PREROUTING -s 180.15.10.10 -p tcp --dport 2221 -j DNAT --to 192.168.10.13:22（端口映射）主动连接是服务器通过20号端口主动向客户端建立连接（SNAT）
iptables之NAT设置
06-01
下面是使用iptables设置NAT的步骤： 1. 开启IPv4的IP转发功能： ``` sudo sysctl -w net.ipv4.ip_forward=1 ``` 2. 添加SNAT规则： ``` sudo iptables -t nat -A POSTROUTING -s <源IP/子网> -o <出口网卡> -j ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

家有工程师

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值