【LinuxShell】linux防火墙之SNAT策略和DNAT策略

最新推荐文章于 2024-04-19 02:26:29 发布
最新推荐文章于 2024-04-19 02:26:29 发布
阅读量1.1k 收藏 4
点赞数
分类专栏： Shell基础 文章标签： 服务器 网络 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/datangda/article/details/130806200
版权

文章目录

前言

  通过之前的学习，我们认识了防火墙的表、链结构，并学会了简单的编写防火墙的规则。Linux 防火墙在很多的时候承担着连接企业内、外网的重任，除了提供数据包过滤以外，还提供一些基本的网关应用。下面我们将了解防火墙中的SNAT 和DNAT策略。

一、SANT策略

1.SNAT策略概述

  SNAT（Source Network Address Translation，源地址转换）是Linux防火墙的一种地址转换操作，也是iptables命令中的一种数据包控制类型，其作用是根据特定的条件修改数据包的源IP地址。

2.SNAT的典型应用环境

  局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）。

3.SNAT的工作原理

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-n58haqtf-1684736139017)(C:\Users\86138\AppData\Roaming\Typora\typora-user-images\image-20230520141734202.png)]

  客户端往网关服务器发数据包，网关服务器将从客户端发送过来数据包的源IP地址由私网IP地址转换成公网IP地址进行转发，发送至需要访问的服务器。访问后，数据包返回往网关服务器，源IP地址会作为目的IP地址，目的IP地址会作为源IP地址进行传送，然后网关服务器会把从服务器返回来的数据包的目的IP地址由公网IP地址转换成私网IP地址进行返回到客户端。

  注：SNAT的转换流程是从私网到公网，源IP地址改变，目标IP地址不变。

4.SNAT策略的应用

SNAT转换前提条件

  局域网各主机已正确设置IP地址、子网掩码、默认网关地址。

  Linux网关开启IP路由转发。

SNAT策略打开方式

临时打开

方式1：echo 1 > /proc/sys/net/ipv4/ip_forward

方式2：sysctl -w net.ipv4.ip_forward=1

永久打开

[root@localhost ~]# vim /etc/sysctl.conf
###将此行写入配置文件
net.ipv4.ip_forward = 1 		
###读取修改后的配置
[root@localhost ~]# sysctl -p

SNAT实验过程

  客户端（192.168.145.15）想要进入网关服务器的ens32端口（192.168.145.50），通过网关服务器SNAT进行IP地址转换，从ens33端口（12.0.0.50）发送给Web服务器（12.0.0.200）

在这里插入图片描述

客户端设置（Centos 7-1）

ip地址相关设置

###配置ip地址和网关
[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-ens32
ADDR=192.168.145.15
NETMASK=255.255.255.0
GATEWAY=192.168.145.50
[root@localhost ~]# systemctl restart network
[root@localhost ~]# ifconfig
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.145.15  netmask 255.255.255.0  broadcast 192.168.145.255
        inet6 fe80::fd54:3fb4:558d:82fb  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:33:c5:93  txqueuelen 1000  (Ethernet)
        RX packets 506452  bytes 704984469 (672.3 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 192066  bytes 12499794 (11.9 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

设置防火墙以及规则

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
setenforce: SELinux is disabled
###清除所有规则
[root@localhost ~]# iptables -F && iptables -t nat -F

网关服务器设置（Centos 7-2）

网关服务器需要设置两个网卡，所以在虚拟机上需要添加一个网络适配器，设置完重启后生效。

在这里插入图片描述

ip地址相关设置

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
###修改ens33ip地址
[root@localhost network-scripts]# vim ifcfg-ens33 
IPADDR=192.168.145.50
###复制ens33配置文件为ens36配置文件
[root@localhost network-scripts]# cp ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# ls
ifcfg-ens33  ifdown-post      ifup-eth     ifup-sit
ifcfg-ens36  ifdown-ppp       ifup-ib      ifup-Team
ifcfg-lo     ifdown-routes    ifup-ippp    ifup-TeamPort
ifdown       ifdown-sit       ifup-ipv6    ifup-tunnel
ifdown-bnep  ifdown-Team      ifup-isdn    ifup-wireless
ifdown-eth   ifdown-TeamPort  ifup-plip    init.ipv6-global
ifdown-ib    ifdown-tunnel    ifup-plusb   network-functions
ifdown-ippp  ifup             ifup-post    network-functions-ipv6
ifdown-ipv6  ifup-aliases     ifup-ppp
ifdown-isdn  ifup-bnep        ifup-routes
[root@localhost network-scripts]# vim ifcfg-ens36
###修改连接名称，可以没有
NAME=ens36
###网卡设备名称，必须要有
DEVICE=ens36
###删除UID标识，让系统自动分配
#UUID=b7f32ab4-a3b6-4b32-be62-812cb1a30c17
###修改ip地址
IPADDR=12.0.0.50
###重启网卡服务
[root@localhost network-scripts]# systemctl restart network
[root@localhost network-scripts]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.145.50  netmask 255.255.255.0  broadcast 192.168.145.255
        inet6 fe80::c8e2:a658:18d3:92cd  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:20:88:32  txqueuelen 1000  (Ethernet)
        RX packets 383  bytes 52823 (51.5 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 210  bytes 24147 (23.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens36: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 12.0.0.50  netmask 255.0.0.0  broadcast 12.255.255.255
        inet6 fe80::e7d:fb55:adfc:c796  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:20:88:3c  txqueuelen 1000  (Ethernet)
        RX packets 352  bytes 36564 (35.7 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 115  bytes 13564 (13.2 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

设置防火墙以及规则

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
###将光盘挂载
[root@localhost ~]# mount /dev/sr0 /mnt
mount: /dev/sr0 写保护，将以只读方式挂载
###安装iptables防火墙相关服务
[root@localhost ~]# yum install -y iptables*
###启动iptables防火墙
[root@localhost ~]# systemctl start iptables.service
[root@localhost ~]# systemctl enable iptables.service 
Created symlink from /etc/systemd/system/basic.target.wants/iptables.service to /usr/lib/systemd/system/iptables.service.
[root@localhost ~]# systemctl stop iptables.services
Failed to stop iptables.services.service: Unit iptables.services.service not loaded.
###清除所有规则
[root@localhost ~]# iptables -F && iptables -t nat -F
[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  
###设置客户端只允许192.168.145.0网段主机通过的规则
[root@localhost ~]# iptables -t filter -A FORWARD  -s 192.168.145.0/24 -j ACCEPT 
[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  192.168.145.0/24     0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

设置SNAT策略

###设置永久打开SNAT策略
[root@localhost ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1
###设置路由转发功能
[root@localhost ~]# sysctl -p
net.ipv4.ip_forward = 1
###设置192.168.145.0网段的主机通过ens36网卡接口转换成12.0.0.50的IP地址
[root@localhost ~]# iptables -t nat -A POSTROUTING  -s 192.168.145.0/24 -o ens36 -j SNAT --to 12.0.0.50    
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.145.0/24     0.0.0.0/0            to:12.0.0.50

Web服务器设置（Centos 7-3）

ip地址相关设置

####配置ip地址和网关
[root@localhost html]# vi /etc/sysconfig/network-scripts/ifcfg-ens32
IPADDR=12.0.0.200
NETMASK=255.255.255.0
GATEWAY=12.0.0.50
###重启网络服务
[root@localhost html]# systemctl restart network
[root@localhost html]# ifconfig
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 12.0.0.200  netmask 255.255.255.0  broadcast 12.0.0.255
        inet6 fe80::f7ca:c46d:5b2c:93a6  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:fd:72:ff  txqueuelen 1000  (Ethernet)
        RX packets 25672  bytes 34762940 (33.1 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 11097  bytes 795061 (776.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

设置防火墙以及相关服务

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
###清除所有规则
[root@localhost ~]# iptables -F && iptables -t nat -F
###安装httpd服务
[root@localhost ~]# yum install -y httpd
###写数据在html中，为后面方便查看是否传输成功做判断
[root@localhost ~]# cd /var/www/html/
[root@localhost html]# ls
[root@localhost html]# echo "this is test web" > test.html
[root@localhost html]# cat test.html 
this is test web
###启动httpd服务
[root@localhost html]# systemctl start httpd

测试实验结果

客户端访问服务端

在这里插入图片描述

服务端查看http日志

[root@localhost html]# cd /etc/httpd/logs/
[root@localhost logs]# ls
access_log  error_log
###通过日志查看后面访问的源地址就是公网地址
[root@localhost logs]# grep 'test.html' access_log 
192.168.145.45 - - [20/May/2023:15:48:56 +0800] "GET /test.html HTTP/1.1" 200 17 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"
192.168.145.45 - - [20/May/2023:15:50:51 +0800] "GET /test.html HTTP/1.1" 200 17 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"
192.168.145.45 - - [20/May/2023:15:51:16 +0800] "GET /test.html HTTP/1.1" 304 - "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"
192.168.145.15 - - [20/May/2023:22:22:55 +0800] "GET /test.html HTTP/1.1" 200 17 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"
12.0.0.50 - - [20/May/2023:22:29:27 +0800] "GET /test.html HTTP/1.1" 200 17 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"
12.0.0.50 - - [20/May/2023:22:30:40 +0800] "GET /test.html HTTP/1.1" 200 17 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0"

5.知识扩展

一个IP地址做SNAT转换，一般可以让内网 100到200 台主机实现上网。

二、DNAT策略

1.DNAT策略概述

  DNAT 的全称为Destination Network Address Translation，意思是目的地址转换，常用于防火墙中。

  目的地址转换的作用是将一组本地内部的地址映射到一组全球地址。通常来说，合法地址的数量比起本地内部的地址数量来要少得多。RFC1918中的地址保留可以用地址重叠的方式来达到。当一个内部主机第一次放出的数据包通过防火墙时，动态NAT的实现方式与静态NAT相同，然后这次NAT就以表的形式保留在防火墙中。

2.DNAT的典型应用环境

  在Internet中发布位于局域网内的服务器。

3.DNAT的工作原理

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-zo9ubA0n-1684736139020)(C:\Users\86138\AppData\Roaming\Typora\typora-user-images\image-20230520225359582.png)]

  外网的客户端往网关服务器发数据包，网关服务器将从客户端发送过来数据包由公网的IP地址和端口转换成私网的IP地址和端口进行转发，然后网关服务器在将私网IP地址发送给需要访问的内网服务器。访问后，内网服务器发送数据包给网关服务器，网关服务器会将应答响应的数据包的源地址由私网的IP地址和端口转换成公网的IP地址和端口。

  注：DNAT的转换流程是从公网到私网，源IP地址不变，目标IP地址改变。

4.DNAT策略的应用

DNAT转换前提条件

  局域网的服务器能够访问Internet

  网关的外网地址有正确的DNS解析记录

  Linux网关开启IP路由转发

DNAT地址转换方式

DNAT转换1：发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.10
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.10
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.10
                             入站 外网网卡  外网IP											   内网服务器IP
 
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.10-192.168.80.20

DNAT转换2：发布时修改目标端口

		
#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.10:22

DNAT实验过程

  注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回。

在这里插入图片描述

内网服务器设置（Centos 7-1）

IP地址设置

[root@localhost ~]# cd /etc/sysconfig/nework-scripts/
[root@localhost network-scripts]# vim ifcfg-ens32
IPADDR=192.168.145.15
NETMASK=255.255.255.0
GATEWAY=192.168.145.50
###重启网卡
[root@localhost network-scripts]# systemctl restart network

防火墙设置以及服务设置

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
setenforce: SELinux is disabled
[root@localhost ~]# mount /dev/sr0 /mnt
mount: /dev/sr0 写保护，将以只读方式挂载
###安装httpd服务
[root@localhost ~]# yum install -y httpd
###启动httpd服务
[root@localhost ~]# systemctl start httpd
###写数据在html中，为后面方便查看是否传输成功做判断
[root@localhost ~]# cd /var/www/html/
[root@localhost html]# echo 'hello world' > test.html

网关服务器设置（Centos 7-2）

网关服务器需要设置两个网卡，所以在虚拟机上需要添加一个网络适配器，设置完重启后生效。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-zshGmrfI-1684736139021)(C:\Users\86138\AppData\Roaming\Typora\typora-user-images\image-20230520232010910.png)]

IP地址设置

###设置ens33接口
[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens33 
IPADDR=192.168.145.50
NETMASK=255.255.255.0
###复制ens33配置文件为ens36配置文件
[root@localhost network-scripts]# cp ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# vim ifcfg-ens36
###修改连接名称，可以没有
NAME=ens36
###网卡设备名称，必须要有
DEVICE=ens36
###删除UID标识，让系统自动分配
#UUID=b7f32ab4-a3b6-4b32-be62-812cb1a30c17
###修改ip地址
IPADDR=12.0.0.50
NETMASK=255.255.255.0
###重启网卡
[root@localhost network-scripts]# systemctl restart network
[root@localhost network-scripts]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.145.50  netmask 255.255.255.0  broadcast 192.168.145.255
        inet6 fe80::c8e2:a658:18d3:92cd  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:20:88:32  txqueuelen 1000  (Ethernet)
        RX packets 286  bytes 37887 (36.9 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 291  bytes 32263 (31.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens36: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 12.0.0.50  netmask 255.255.255.0  broadcast 12.0.0.255
        inet6 fe80::20c:29ff:fe20:883c  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:20:88:3c  txqueuelen 1000  (Ethernet)
        RX packets 133  bytes 10306 (10.0 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 100  bytes 13875 (13.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

防火墙设置以及规则

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
setenforce: SELinux is disabled
###清楚所有规则
[root@localhost ~]# iptables -F && iptables -t nat -F

DNA策略设置

###设置永久打开SNAT策略
[root@localhost ~]# vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1
###加载SNAT策略
[root@localhost ~]# sysctl -p
net.ipv4.ip_forward = 1
#添加DNAT策略，修改入站的目的地址  
[root@localhost ~]# iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.30 -p tcp --dport 8080 -j DNAT --to 192.168.145.15:80       
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.30            tcp dpt:8080 to:192.168.145.20:80

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

设置SNAT策略

#添加SNAT策略，修改出站的源地址
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.145.0/24 -o ens33 -j SNAT --to 12.0.0.50     
[root@localhost ~]#  iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.50           tcp dpt:8080 to:192.168.145.20:80

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.145.0/24      0.0.0.0/0            to:12.0.0.30

设置端口映射

#将192.168.145.15:22的IP地址和端口号映射为12.0.0.50：2345
[root@localhost ~]# iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.50 -p tcp --dport 2345 -j DNAT --to 192.168.145.15:22  
[root@localhost ~]#  iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.50            tcp dpt:8080 to:192.168.80.20:80
DNAT       tcp  --  0.0.0.0/0            12.0.0.50            tcp dpt:2345 to:192.168.145.15:22

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.80.0/24      0.0.0.0/0            to:12.0.0.30

外网客户端设置（Centos 7-3）

IP地址设置

[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# vim ifcfg-ens32 
IPADDR=12.0.0.200
NETMASK=255.255.255.0
GATEWAY=192.168.145.50
[root@localhost network-scripts]# systemctl  restart network

防火墙设置

###关闭防火墙
[root@localhost ~]# systemctl stop firewalld
[root@localhost ~]# setenforce 0
setenforce: SELinux is disabled

测试实验结果

客户端访问服务端

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-DCHyOFrl-1684736139021)(C:\Users\86138\AppData\Roaming\Typora\typora-user-images\image-20230522135726326.png)]

5.知识扩展

  主机型防火墙 主要使用 INPUT、OUTPUT 链，设置规则时一般要详细的指定到端口

  网络型防火墙 主要使用 FORWARD 链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可。

三、tcpdump抓包

  根据系统类型不同，可以分为windows系统的抓包和linux系统的抓包两种方式。在windows系统可以通过wireshark软件进行抓包；linux系统可以通过tcpdump命令进行抓包。

1.命令格式

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

各个字段的含义：

  tcp ：ip iocmp arp rarp和 tcp、udp、icmp这些协议选项等都要放到第一个参数的位置，用来过滤数据包的类型。

  -i ens33 :只抓经过接口lens33的包。

  -t ：不显示时间戳。

  -s 0 ：抓取数据包时默认抓取长度为68字节。加上此选项可以抓到完整的数据包。

  -c 100 ：只抓取100个数据包

   dst port ! 22 ：不抓取目标端口是22的数据包

  src net 192.168.1.0/24 ：数据包的源网络地址为192.168.1.0/24。

  -w ./target.cap ：保存成cap文件，方便用ethereal (即wireshark)分析。

2.抓包过程

客户端进行访问服务器
在这里插入图片描述

与此同时服务器进行tcpdump抓包

[root@localhost ~]# tcpdump -i ens32 -s 0 net 12.0.0.0/24 -w /opt/ens32.cap
tcpdump: listening on ens32, link-type EN10MB (Ethernet), capture size 262144 bytes
^C140 packets captured
140 packets received by filter
0 packets dropped by kernel
###将抓取的包拖到windows系统下
[root@localhost opt]# sz ens32.cap

最后通过wireshark软件进行查看

四、防火墙规则的备份和还原

1.防火墙规则的备份

###导出（备份）所有表的规则
iptables-save > /opt/ipt.txt

2.防火墙规则的还原

###导入（还原）规则
iptables-restore < /opt/ipt.txt
我的宝贝大唐
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Linux防火墙配置SNAT教程（1）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
Linux防火墙——SNAT、DNAT
m_j_y0_0的博客
03-22 1531
局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）
Linux——SNAT与DNAT的应用
cxin1225的博客
05-23 646
DNAT 的全称为Destination Network Address Translation目的地址转换，常用于防火墙中DNAT：目的地址转换的作用是将一组本地内部的地址映射到一组全球地址。通常来说，合法地址的数量比起本地内部的地址数量来要少得多。私网地址只能作为源地址来访问公网IP，而无法作为目标地址被其他主机访问所以DNAT将私网中web服务器映射到公网IP，使其公网IP作为目标地址被公网中主机进行访问DNAT 应用环境：在Internet中发布位于局域网内的服务器。
linux上配置IPv6地址详细步骤及工具连接IPv6地址方法(1)
最新发布
2401_84411249的博客
04-19 1571
引领完成Docker的安装、部署、管理和扩展，让其经历从测试到生产的整个开发生命周期，深入了解Docker适用于什么场景。并且这本Docker的学习权威指南介绍了其组件的基础知识，然后用Docker构建容器和服务来完成各种任务：利用Docker为新项目建立测试环境，演示如何使用持续集成的工作流集成Docker，如何构建应用程序服务和平台，如何使用Docker的API，如何扩展Docker。
SNAT和DNAT
qq_59980732的博客
10-10 110
SANT：源地址转换DNAT：目的地址转换。
Linux防火墙之--SNAT和DNAT
qq_51506982的博客
10-07 2350
当内网有多台主机访问外网时，SNAT在转换时会自动分配端口，不同内网主机会通过端口号进行区分。当相应的数据包从公网发送到内网时，会把数据包的目的地址由公网IP转换为私网IP。数据包从内网发送到公网时，SNAT会把数据包的源地址由私网IP转换成公网IP。firewall-cmd --list-all 查看。firewall-cmd --zone=指定区域。添加，浏览器20.0.0.10即可看到是否成功。2.给网关服务器添加一张虚拟网卡。查看区域内允许通过的服务。web端连接客户端测试。做SNAT的地址转换。
Linux防火墙iptables之SNAT与DNAT
qq_44363920的博客
05-12 936
目录 1 SNAT策略及应用 1.1 SNAT策略概述 1.1.1 SNAT策略的典型应用环境 1.1.2 SNAT策略的原理 1.1.3 SNAT转换前提条件 1.2 开启SNAT的命令 1.2.1 临时打开 1.2.2 永久打开 1.3 SNAT转换 1.3.1 固定的公网IP地址 1.3.2 非固定的公网IP地址（共享动态IP地址） 1.4 SNAT案例 2 DNAT原理及应用 2.1 DNAT应用环境 2.2 DNAT原理 2.3 DNAT转换前提条件 2.4
Linux防火墙配置SNAT教程（2）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程第二篇，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
基于Linux操作系统的SNAT策略.pdf
09-06
"基于Linux操作系统的SNAT策略.pdf" 本文档主要讨论基于Linux操作系统的SNAT策略，解决企业面临的IP地址资源匮乏问题。SNAT策略主要应用在局域网共享上网接入的方面，通过Iptables命令实现Source Network Address ...
linux 实现SNAT技术
blh2393430755的博客
03-17 1153
一、实验环境 1.说明：SNAT是针对源ip地址做的地址转换 2.软件:VMware 15 ，slave1与slave2系统都为centos 7 3.网络：Vmnet8 为nat类型网络 可想象为现实中的公网地址 可正常访问外网 VMnet1 与 vmnet7 都为仅主机类型的主机 ，可想象为现实中的内网地址，无法访问外网 4.拓扑图如下（sw为交换机） 二、前提配置 1. centos 克隆的配置 nmcli con add con-name ens33-static..
Linux 防火墙 SNAT DNAT
低温热源的博客
05-21 706
局域网主机共享单个公网IP地址接入Internet（私有IP地址不能在Internet中正常路由）修改数据包的源地址SNAT可以认为是路由器NAT中的easy ipDNAT可以认为是路由器NAT中的 nat serverSNAT将 内网源地址 转化为网关的公网地址，以避免内网地址无法在公网中传输的情况临时打开IP路由转发永久打开IP路由转发。
SNAT、DNAT+实战项目
繁星若渺的博客
11-19 406
目录1、SNAT策略概述（出站）2、SNAT的典型应用环境3、项目实测3.1、实验坏境3.2、需求描述3.3、测试步骤3.31、内网上设置 1、SNAT策略概述（出站） ■ SNAT策略的典型应用环境 ● 局域网主机共享单个公网IP地址接入Internet ■ SNAT策略的原理 ● 源地址转换，Source Network Address Translation ● 修改数据包的源地址 2、SNAT的典型应用环境 3、项目实测 3.1、实验坏境 一台客户机充当内网：192.168.74.10 一台客
iptables 防火墙中的SNAT和DNAT
WuDan_1112的博客
05-11 1327
前言 通过上一章的学习，我们认识了防火墙的表、链结构，并学会了简单的编写防火墙的规则。Linux 防火墙在很多的时候承担着连接企业内、外网的重任，除了提供数据包过滤以外，还提供一些基本的网关应用。下面我们将了解防火墙中的SNAT 和DNAT策略。 一、SNAT策略 1.1 SNAT应用环境 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由） 1.2 SNAT原理 源地址转换（Source Network Address Translation），根据指
防火墙之SNAT和DNAT
FYR1018的博客
05-10 1659
1 SNAT 原理与应用1.1 SNAT 应用环境和策略的原理1.2 SNAT 工作原理1.3 SNAT 转换前提条件1.4 路由转发开启方式1.5 SNAT转换1.6 小知识扩展2 SNAT 案例3 DNAT 原理与应用3.1 DNAT 应用环境3.2 DNAT 策略原理3.3 DNAT 转换前提条件3.4 DNAT转换4 DNAT案例5.1 防火墙规则的备份和还原5.2 tcpdump---Linux抓包 监听网络流量命令
配置SNAT实现共享上网： 搭建内外网案例环境 配置SNAT策略实现共享上网访问
彭淦淦的博客
04-23 1167
4.1 问题 本案例要求设置防火墙规则，允许位于局域网中的主机可以访问外网，主要包括下列服务： 搭建内外网案例环境 配置SNAT策略实现共享上网访问 4.2 步骤 实现此案例需要按照如下步骤进行。 步骤一：搭建内外网案例环境 表-4 实验拓扑 这里，我们设定192.168.2.0/24网络为外部网络，192.168.4.0/24为内部网络。 现在，在外部网络中有一台web服务器192.168....
Linux系统之iptables应用SNAT与DNAT
ZHUZIH6的博客
02-19 1899
SNAT与DNAT原理及应用，详细实验过程；对比SNAT与DNAT区别；介绍iptables规则的备份与还原以及使用tcpdump抓包
SNAT、DNAT 防火墙规则的备份和还原
weixin_67474417的博客
05-17 494
前言：主播这几天有心事，所以没有前言拐友们 1.SNAT原理及应用 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由） 2.SNAT原理 源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射 3.SNAT转换前提条件 1.局域网各个主机已正确设置IP地址、子网掩码、默认网关地址 2.Linux网关开启IP路由转发 临时打开： echo 1 > /proc/sys/net/ipv4/ip_forward 或 sy
计算机网络 SNAT/DNAT 部署（三种VMware网卡模式）
lpfstudy的博客
03-28 2231
计算机网络SNAT 和 DNAT 的详细配置步骤
SNAT与DNAT
TTSuzuka的博客
11-02 9232
局域网共享一个公网IP接入lnternel，好处如下保护内网用户安全，因为公网地址总有一些人恶意扫描，而内网地址在公网没有路由所以无法被扫描，能被扫描的只有防火墙这一台，这样就减少了被攻击的可能。Ipv4地址匮乏，很多公司只有一个ipv4地址，但是却有几百个用户需要上网，这个时候就需要使用SNAT。省钱，公网地址付费，使用SNAT只需要一个公网ip就可以满足几百人同时上网。向internel发布内网服务器，在内网中有服务器，如果想让公网用户访问有有两种方法。
ensp防火墙snat和dnat配置
05-20
SNAT（源地址转换）和DNAT（目的地址转换）是防火墙中常见的功能。它们用于在防火墙上对网络流量进行地址转换，以实现特定的网络需求。 下面是一些简单的SNAT和DNAT配置示例： SNAT配置： 1. 将内部IP地址192.168.1.100转换为外部IP地址202.101.1.100： ``` iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 202.101.1.100 ``` 2. 将所有内部IP地址转换为外部IP地址： ``` iptables -t nat -A POSTROUTING -j SNAT --to-source 202.101.1.100 ``` DNAT配置： 1. 将外部IP地址202.101.1.100的流量转发到内部IP地址192.168.1.100： ``` iptables -t nat -A PREROUTING -d 202.101.1.100 -j DNAT --to-destination 192.168.1.100 ``` 2. 将外部IP地址202.101.1.100的80端口流量转发到内部IP地址192.168.1.100的8080端口： ``` iptables -t nat -A PREROUTING -p tcp -d 202.101.1.100 --dport 80 -j DNAT --to-destination 192.168.1.100:8080 ``` 这些是基本的SNAT和DNAT配置示例，具体配置取决于你的网络需求和防火墙规则。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

我的宝贝大唐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值