Linux系统安全②SNAT与DNAT

已于 2024-03-14 15:28:39 修改
阅读量420 收藏
点赞数 4
文章标签： linux 运维 服务器
于 2024-03-13 19:01:19 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kiryu7/article/details/136688353
版权

目录

一.SNAT

1.定义

2.实验环境准备

（1）三台服务器：PC1客户端、PC2网关、PC3服务端。

（2）硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡

（3）网络模式要求：PC1为NAT模式、PC2中作为PC1网关的网卡为NAT模式、作为PC3网关的网卡为仅主机

（4）IP地址要求：

①PC1为192.168.227.101/24--网关为192.168.227.102

②PC2网关的ens33网卡地址为192.168.227.102/24--网关为192.168.227.102、ens36为12.0.0.254/24--不需要网关

③PC3为12.0.0.100/24--网关为12.0.0.254

3.实验拓扑

4.实验步骤

（1）关闭防火墙安装HTTP

（2）配置PC3服务端

（3）配置PC1客户端

（4）配置PC2网关服务器

（5）开启PC2网关服务器路由转发

（6）检测PC1、PC2、PC3三台机器之间是否互通(使用虚拟机做实验默认是互通的，是由于处在同一环境中，生产环境内网和外网没有SNAT的情况下是不通的)

（7）在PC1上curl 服务端ip，然后在服务端实时查看/var/log/httpd/access_log日志。可查看到源ip为PC1的ip，所以是未经过NAT的，生产环境中不可能直接curl通

（8）在PC2中添加防火墙规则使得来源于192.168.30.0/24网段的所有从ens36网卡流出数据的ip全部NAT为12.0.0.254。然后再使用PC1去curl 服务端并在服务端实时查看日志。

5.结论

二.DNAT

1.定义

2.DNAT实验环境准备

（1）三台服务器：PC1客户端、PC2网关、PC3服务端。

（2）硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡

（3）网络模式要求：PC1为NAT模式、PC2中作为PC1网关的网卡为NAT模式、作为PC3网关的网卡为仅主机模式、PC3为仅主机模式。

（4）IP地址要求：

①PC1为192.168.227.101/24--网关为192.168.227.102

②PC2网关的ens33网卡地址为192.168.227.102/24--网关为192.168.227.102、ens36为12.0.0.254/24--不需要网关

③PC3为12.0.0.100/24--网关为12.0.0.254

3.实验拓扑

4.实验

（1）首先给三台机器做一个SNAT，原因是做DNAT之后内网的PC1需要通过SNAT给公网的用户返回数据包

（2）在内网PC1上安装一个httpd服务并开启，作为内网的业务服务器

（3）PC2网关服务器上配置DNAT规则

（4）实时查看PC1的/var/log/httpdd/access_log日志，使用PC3公网地址直接curl 内网的PC1，可以看到日志中源地址。

5.结论

一.SNAT

1.定义

利用SNAT技术实现2台私网地址都可以访问公网

2.实验环境准备

（1）三台服务器：PC1客户端、PC2网关、PC3服务端。
（2）硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡
（3）网络模式要求：PC1为NAT模式、PC2中作为PC1网关的网卡为NAT模式、作为PC3网关的网卡为仅主机
（4）IP地址要求：
①PC1为192.168.227.101/24--网关为192.168.227.102
②PC2网关的ens33网卡地址为192.168.227.102/24--网关为192.168.227.102、ens36为12.0.0.254/24--不需要网关
③PC3为12.0.0.100/24--网关为12.0.0.254

3.实验拓扑

4.实验步骤

（1）关闭防火墙安装HTTP
三台机器全部执行：
systemctl stop firewalld
setenforce 0
yum install httpd -y
（2）配置PC3服务端
PC3执行：
vim /etc/sysconfig/network-script/ifcfg-ens33
文本添加内容：
IPADDR=12.0.0.100
NETMASK=255.255.255.0
GATEWAY=12.0.0.254
（3）配置PC1客户端
PC1执行：
vim /etc/sysconfig/network-script/ifcfg-ens33
文本添加内容：
IPADDR=192.168.227.101
NETMASK=255.255.255.0
GATEWAY=192.168.227.102
（4）配置PC2网关服务器
PC2执行：
vim /etc/sysconfig/network-script/ifcfg-ens33
文本添加内容：
IPADDR=192.168.227.102
NETMASK=255.255.255.0
GATEWAY=192.168.227.102
 
cp /etc/sysconfig/network-script/ifcfg-ens33  /etc/sysconfig/network-script/ifcfg-ens36
#复制ens33配置文件给ens36网卡，新增网卡不会有配置文件
ens36配置文件修改：将UUID此行删除，修改ip和网关
IPADDR=12.0.0.254
NETMASK=255.255.255.0
GATEWAY=12.0.0.254
（5）开启PC2网关服务器路由转发
vim /etc/sysctl.conf
添加内容：
net.ipv4.ip_forward=1
（6）检测PC1、PC2、PC3三台机器之间是否互通(使用虚拟机做实验默认是互通的，是由于处在同一环境中，生产环境内网和外网没有SNAT的情况下是不通的)
（7）在PC1上curl 服务端ip，然后在服务端实时查看/var/log/httpd/access_log日志。可查看到源ip为PC1的ip，所以是未经过NAT的，生产环境中不可能直接curl通
（8）在PC2中添加防火墙规则使得来源于192.168.30.0/24网段的所有从ens36网卡流出数据的ip全部NAT为12.0.0.254。然后再使用PC1去curl 服务端并在服务端实时查看日志。
PC2执行：
iptables -t nat  -A POSTROUTING -s 192.168.227.0/24 -o ens36 -j SNAT --to 12.0.0.254
# -t nat 指定使用nat表
# -A POSTROUTING 添加在数据流出链，原因为在输出时添加只需要添加一次。
# -s 指定源ip
# -o 指定输出网卡为ens36时
# -j 指定跳转到SNAT处理
# --to 指定SNAT nat为12.0.0.254这个地址

5.结论

不经过nat的地址为pc1自己的地址，使用虚拟机环境才会出现这种情况，生成环境是不通的。

经过nat之后的地址是公司的公网ip地址，由网关服务器iptables规则SNAT实现。

二.DNAT

1.定义

从公网访问的用户只能通过nat为业务服务器的私网网关地址才可访问。

2.DNAT实验环境准备

（1）三台服务器：PC1客户端、PC2网关、PC3服务端。
（2）硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡
（3）网络模式要求：PC1为NAT模式、PC2中作为PC1网关的网卡为NAT模式、作为PC3网关的网卡为仅主机模式、PC3为仅主机模式。
（4）IP地址要求：
①PC1为192.168.227.101/24--网关为192.168.227.102
②PC2网关的ens33网卡地址为192.168.227.102/24--网关为192.168.227.102、ens36为12.0.0.254/24--不需要网关
③PC3为12.0.0.100/24--网关为12.0.0.254

3.实验拓扑

4.实验

（1）首先给三台机器做一个SNAT，原因是做DNAT之后内网的PC1需要通过SNAT给公网的用户返回数据包
（2）在内网PC1上安装一个httpd服务并开启，作为内网的业务服务器
（3）PC2网关服务器上配置DNAT规则
PC2执行：
iptables -t nat  -A PREROUTING -d 12.0.0.254 -i ens36 -p tcp  --dport 80 -j DNAT --to 192.168.227.101
# 从ens36网卡进入的流量目的地址为12.0.0.254目的端口为80的tcp协议NAT处理为访问192.168.227.102
# -t nat 指定使用nat表
# -A PREROUINTG 添加在路由选择前数据进入链，在输入时直接判断。
# -d 指定目的ip
# -i 指定输出网卡为ens36时
# -p 指定协议为tcp协议
# --dport 指定目的端口为80
# -j 指定跳转到DNAT处理
# --to 指定DNAT nat到192.168.227.101这个地址
（4）实时查看PC1的/var/log/httpdd/access_log日志，使用PC3公网地址直接curl 内网的PC1，可以看到日志中源地址。

5.结论

经过DNAT之后的用户访问公网的网关即会跳转到内网的PC1内网的httpd服务中。PC1内网日志会显示访问的源公网ip。

Linux糕手
关注
  • 4
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
运用Linux系统打造NAT防火墙的技术研究与实现
04-16
阐述了在Linux系统下打造NAT防火墙的设计方案和策略，并且给出了基于NAT的防火墙的具体设置步骤和所实现的检测结果。在对NAT技术的安全性进行了具体分析的基础之上，结合设计中出现的问题，进一步探讨了需要改进的...
网络地址转换的两种模式：SNAT和DNAT，网络通信的核心
网络技术联盟站
11-15 2094
SNAT和DNAT是网络地址转换（NAT）的两种主要模式，它们在许多网络环境中都发挥着重要的作用。SNAT主要用于允许内部网络的主机通过一个公网IP地址访问互联网，而DNAT主要用于将外部网络的请求重定向到内部网络的特定主机。尽管SNAT和DNAT都可以提供一定程度的安全性，但它们并不能提供完全的安全保障。因此，我们应该将SNAT和DNAT作为网络安全策略的一部分，与其他安全措施（如防火墙和入侵检测系统）一起使用。
使用Debian Linux操作系统架设安全的网关
03-04
"使用 Debian Linux 操作系统架设安全的网关" 本文旨在介绍如何使用 Debian Linux 操作系统架设安全的网关。安全网关是指在网络边缘部署的一个系统，负责保护内部网络免受外部攻击和恶意活动的影响。使用 Debian ...
Linux下多网段Nat实现与应用.pdf
09-06
2. **服务器配置**：选择一台具备足够处理能力的Linux服务器，例如采用REDHAT Linux AS 5系统，并安装双网卡，分别连接内外网。内网网卡（如eth1）的IP地址配置为172.16.10.1，子网掩码255.255.255.248，外网网卡...
Linux网关服务.pdf
09-06
Linux 操作系统提供了多种网络地址转换技术，例如 SNAT 和 DNAT。 SNAT SNAT 是一种源地址转换技术，用于将内部网络的 IP 地址转换为外部网络的 IP 地址。SNAT 可以分为两步进行：启用内核的 IP 转发功能，编写一...
LINUX网络安全讲义1
12-21
### Linux网络安全讲义1：Netfilter机制与iptables工具 #### 一、iptables简介 ##### 1.... ... ##### 2....- 在使用iptables之前，需要确保内核版本为2.4或以上。...这对于理解Linux系统下的网络安全策略至关重要。
Linux：基础命令学习
qq_55038440的博客
07-20 1239
实例：-F根据文件类型在列出的文件名称后加一符号。实例： -R 递归显示目录中的所有文件和子目录。. 开头的隐藏文件也会列出。可执行文件则加 "*"，用于显示目录文件信息。
【Linux】条件变量及生产者消费者模型
2301_78636079的博客
07-23 952
条件变量与生产消费者模型
Linux：进程信号（一.认识信号、信号的产生及深层理解、Term与Core）
qq_74415153的博客
07-23 1398
1.认识信号 进程看待信号方式 2.信号的产生 2.1信号的处理的方式 --- signal()函数 2.2kil指令产生信号 2.3键盘产生信号 2.4系统调用发送信号 -kil系统调 用、raise()和abort()库函数 2.5软件条件产生信号 2.6异常产生信号 3.信号产生的深层理解 键盘产生信号 异常产生信号 4.Term与Core core文件
【Linux】-----权限详解
m0_73470633的博客
07-21 723
Linux权限详解,看这一篇就够了！！！！！！
【Linux】如何使用docker快速部署Stirling-PDF并实现远程处理本地文档
2301_77053417的博客
07-22 1534
本篇文章我们将在Linux上使用Docker在本地部署一个开源的PDF工具——Stirling PDF，并且结合cpolar的内网穿透实现公网随时随地访问。Stirling PDF一个强大的本地托管的基于Web的PDF操作工具，使用Docker，允许您对PDF文件执行各种操作，如分割、合并、转换、重组、添加图片、旋转、压缩等。这个本地托管的Web应用程序最初是一个100%由ChatGPT制作的应用程序，现在已经发展到包含了一系列的功能，以满足您所有的PDF需求。
【嵌入式开发 Linux 常用命令系列 7.7 -- find 和 sed 配合使用介绍】
CodingCos的博客
07-24 436
命令将文件中所有"demo" 字符串替换为 “hello”
linux 查看当前目录下占用空间命令
Damien_J_Scott的博客
07-25 130
du -sh */
linux字符设备驱动+fops应用测试程序
qq_39797956的博客
07-21 232
【代码】linux字符设备驱动+fops应用测试程序。
【linux】Shell脚本三剑客之grep和egrep命令的详细用法攻略
景天科技苑
07-25 1000
在Linux和Unix系统中，grep（Global Regular Expression Print）是一个非常强大的文本搜索工具，能够根据用户指定的模式（由正则表达式和文本字符组合而成）对目标文件进行逐行搜索，并显示匹配到的行。而egrep（Extended Grep）则是`grep`的扩展版本，支持更多的正则表达式语法。尽管egrep在较新的系统中被`grep -E`选项所取代，但了解其用法对于理解和使用正则表达式仍然具有重要意义。
kail-linux如何使用NAT连接修改静态IP
yh
07-22 311
kail设置静态IP
Linux 动静态库
shaoxiebug的博客
07-24 345
库其实是给我们提供方法的实现，如上面的对于printf函数的实现就是在库中实现的，而这个库也就是c标准库，本质也是文件，也有对应的路径。方法的实现就在库当中，库就是将源文件(.c)经过一定的翻译，然后打包，封装然后只提供一个所需的文件，而将其他源文件隐藏。编译器使用静态库进行静态链接时，会将静态库的所有方法实现拷贝到可执行程序中，使该程序不再依赖静态库。由于gcc编译时默认使用的是动态库，完成的是动态链接，如要实现静态链接就要添加-static。1.如果我们没有静态库，但就要-static ，是不行的。
Linux守护进程
最新发布
Lenn Louis' Scribe
07-25 80
Daemon(进程),是Linux中的后台服务器进程，通常独立于控制终端，并且周期性的执行某种任务或者等待处理。某些发生的事件，一般采用d结尾的名字。Linux后台的一些系统服务进程，没有控制终端，不能直接和用户交互。不受用户登录、注销的影响，一直在运行着，他们就是守护进程。
【Linux】gcc简介+编译过程
2302_79031646的博客
07-24 845
gcc简介、编译和链接过程、编译步骤生成的原因、编译器自举的概念、链接的分类：静态链接与动态链接...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值