Linux（CentOS）下，DNAT和SNAT（分享IP）

我有两台服务器：
前端服务器A，它具备外网地址（115.238.54.116），也有内网地址（192.168.0.2）；
后端服务器B，它没有外网地址，只具备内网地址（192.168.0.3）。
通过设置DNAT，可以实现内网服务器供Internet访问。

通过设置SNAT，可以实现内网主机访问Internet。


查看防火墙的详细配置，可参考《防火墙iptables配置》。

直接修改iptables的配置文件：vi /etc/sysconfig/iptables
填入如下内容后，用命令（# service iptables restart）使得设置生效。

#iptables有3个表（filter，nat，mangle）
#这里只配置filter和nat，mangle一般不用。

#filter过滤表的配置（它包含：INPUT，FORWARD，OUTPUT）
*filter

#接收（INPUT）的默认策略是丢弃（DROP）
:INPUT DROP [9650160:4545407604]
#接收所有本机的请求
-A INPUT -i lo -j ACCEPT 
#接所有ICMP的请求（PING）
-A INPUT -p icmp -j ACCEPT 
#接收所有已经建立了链接的请求
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许远程链接（SSH,PostgreSQL,MySQL,Tomcat,Nginx等，以及自定义服务）
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 5432 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 54104 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 9090 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8090 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8000 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
#拒绝其他所有请求，告诉它主机禁止访问
-A INPUT -j REJECT --reject-with icmp-host-prohibited

#转发（FORWARD）的默认策略是接受（ACCEPT）
:FORWARD ACCEPT [2068743:358404333]
#转发所有已经建立了链接的请求
-A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许远程链接（SSH,MySQL等）控制其背后的内网服务器
-A FORWARD -m state --state NEW -m tcp -p tcp --dport 50022 -j ACCEPT
-A FORWARD -m state --state NEW -m tcp -p tcp --dport 53306 -j ACCEPT
-A FORWARD -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT
-A FORWARD -m state --state NEW  -s 192.168.0.0/24 -j ACCEPT
-A FORWARD -m state --state NEW  -d 192.168.0.0/24 -j ACCEPT
#拒绝其他所有转发，告诉它主机禁止访问
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

#发送（OUTPUT）的默认策略是接受（ACCEPT）
:OUTPUT ACCEPT [9988047:5993618714]
COMMIT


#nat表的默认配置（它包含：PREROUTING，POSTROUTING，OUTPUT）
*nat

#前置路由（PREROUTING）的默认策略是接受（ACCEPT）
:PREROUTING ACCEPT [683:42497]
#DNAT设置，允许远程链接（SSH,MySQL等）控制其背后的内网服务器
-A PREROUTING -i em1 -p tcp -m tcp --dport 50022 -j DNAT --to-destination 192.168.0.3 
-A PREROUTING -i em1 -p tcp -m tcp --dport 53306 -j DNAT --to-destination 192.168.0.3:3306 
-A PREROUTING -i em1 -p tcp -m tcp --dport 3306 -j DNAT --to-destination 192.168.0.3
-A PREROUTING -i em1 -p tcp -m tcp --dport 8090 -j REDIRECT --to-ports 8080

#后置路由（PREROUTING）的默认策略是接受（ACCEPT）
:POSTROUTING ACCEPT [1:52]
#SNAT设置，分享公网IP，其背后的内网主机，也可以访问外网
#-A POSTROUTING -o em1 -j SNAT --to-source 115.238.54.116
-A POSTROUTING -s 192.168.0.0/24 -o em1 -j MASQUERADE

#发送（OUTPUT）的默认策略是接受（ACCEPT）
:OUTPUT ACCEPT [63:3772]
COMMIT