第五章：iptables应用案例分析（代理服务器上设置iptables）

最新推荐文章于 2023-11-30 10:58:06 发布
最新推荐文章于 2023-11-30 10:58:06 发布
阅读量105 收藏
点赞数
文章标签： 网络 运维 操作系统

一、代理服务器架设的位置如上图

实验环境如下：
1）局域网网段：192.168.1.0/24，该网段内有2台服务器和1台客户端
（1）WEB服务器：192.168.1.3/24
（2）FTP服务器：192.168.1.2/24
（3）客户端：192.168.1.5/24
2）局域网与外网之间是通过安装有CentOS的防火墙相连，防火墙有两块网卡
（1）eth0：192.168.1.254/24，它是网段：192.168.1.0/24的网关
（2）eth1：192.168.0.254/24，它模拟为公网IP地址
3）Internet的另一端有一台客户端：192.168.0.5/24
该客户端与防火墙是可以ping的通的
4）网卡的连接方式
FTP服务器的eth0：VMnet1-(Host-only)
WEB服务器的eth0：VMnet1-(Host-only)
Firewall的eth0：VMnet1-(Host-only)
Firewall的eth1：Bridged
client的eth0：VMnet1-(Host-only)

二、相关案例的配置

1、案例1：让192.168.1.0/24这个网段内的所有机子都可以通过防火墙（192.168.1.254）上internet

第1步：做准备工作，让防火墙（192.168.1.254）更安全
#防火墙为ssh server，让其它的客户端能够通过SSH服务连接登录到防火墙
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp -m state --state ESTABLISHED --sport 22 -j ACCEPT

#防火墙为ssh client，让它能够连接其它的SSH服务器
iptables -t filter -A INPUT -p tcp --sport 22 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 22 -j ACCEPT

#防火墙为dns client，让它能够解析域名
iptables -t filter -A INPUT -p udp --sport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT

#防火墙为web client，让它能够访问网页
iptables -t filter -A INPUT -p tcp --sport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT

#让局域网（192.168.1.0/24）内的所有机子都能ping通该防火墙
iptables -t filter -A INPUT -p icmp -i eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -o eth0 -d 192.168.1.0/24 -j ACCEPT

#修改默认规则
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP

第2步：防火墙上开启数据包的转发功能（即：在filter表的FORWARD链上写入规则）
sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/' /etc/sysctl.conf && sysctl -p
#对于防火墙的eth0这块网卡，对来自局域网的所有类型的数据包（源地址是192.168.1.0/24网段的）进行转发到公网
iptables -t filter -A FORWARD -i eth0 -s 192.168.1.0/24 -j ACCEPT（这里不写-i eth0也是可以的）
#对于防火墙的eth1这块网卡，对来自公网的所有类型的数据包（目标是192.168.1.0/24网段的）进行转发到局域网
iptables -t filter -A FORWARD -i eth1 -d 192.168.1.0/24 -j ACCEPT（这里不写-i eth1也是可以的）

第3步：地址转化（由于要访问Internet，所以数据包要出去到外网，应在防火墙的nat表中的POSTROUTING链上写入规则）
modprobe ip_nat（#载入nat表的模块）
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 192.168.0.254
或者
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.0/24 -j SNAT --to-source 192.168.0.254（指定哪个接口也是可以的）
iptables -t nat -A POSTROUTING -s 192.168.1.5 -j SNAT --to-source 192.168.0.254（指定只允许192.168.1.5这台机子通过防火墙上网）


2、案例2：通过防火墙限制局域网中的192.168.1.5的下载速度
注意：在案例1的基础上，向filter表的FORWARD链进行写入规则
#要限制下载速度，也就是说要限制从外网进入防火墙且经过FORWARD转发的数据包的数量
将 "iptables -t filter -A FORWARD -i eth1 -d 192.168.1.0/24 -j ACCEPT" 改为：
iptables -t filter -I FORWARD -i eth1 -d192.168.1.5 -m limit --limit 50/m --limit-burst 50 -j ACCEPT
注意：ifconfig eth1可查看MTU值为1500字节=1500/1024=1.5KB（即：每个数据包的大小），那么1分钟内最大的下载速度为：50 * 1.5KB = 75KB
for ((i=5;i<10;i++) {
iptables -t filter -I FORWARD -i eth1 -d 192.168.1.$i -m limit --limit 50/m --limit-burst 50 -j ACCEPT（限制局域网的一段IP）
}


3、案例3：公网的那台客户端（192.168.0.5）通过防火墙使用远程桌面连接局域网中的192.168.1.5主机

第1步：做准备工作，与案例1的准备工作一样

第2步：防火墙上开启数据包的转发功能（即：在filter表的FORWARD链上写入规则）
sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/' /etc/sysctl.conf && sysctl -p
iptables -t filter -A FORWARD -i eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -A FORWARD -i eth1 -d 192.168.1.0/24 -j ACCEPT

第3步：地址转化
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.5:3389
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.5 -p tcp --sport 3389 -j SNAT --to-source 192.168.0.254:3389

第4步：测试
windows xp(192.168.0.5) -> run -> mstsc -> 192.168.0.254


4、案例4：通过防火墙向公网发布局域网内的WEB服务器

第1步：做准备工作，与案例1的准备工作一样

第2步：防火墙上开启数据包的转发功能（即：在filter表的FORWARD链上写入规则）
sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/' /etc/sysctl.conf && sysctl -p
iptables -t filter -A FORWARD -i eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -A FORWARD -i eth1 -d 192.168.1.0/24 -j ACCEPT

第3步：地址转化
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.3:80
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.3 -p tcp --sport 80 -j SNAT --to-source 192.168.0.254:80

第4步：测试
windows xp(192.168.0.5) -> run ->http://192.168.0.254


4、案例5：通过防火墙向公网发布局域网内的FTP服务器

第1步：做准备工作，与案例1的准备工作一样

第2步：防火墙上开启数据包的转发功能（即：在filter表的FORWARD链上写入规则）
sed -i 's/net.ipv4.ip_forward = 0/net.ipv4.ip_forward = 1/' /etc/sysctl.conf && sysctl -p
iptables -t filter -A FORWARD -i eth0 -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -A FORWARD -i eth1 -d 192.168.1.0/24 -j ACCEPT

第3步：地址转化
（1）FTP服务器：主动模式
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport 20 -j DNAT --to-destination 192.168.1.2:20
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.2 -p tcp --sport 20 -j SNAT --to-source 192.168.0.254:20
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport 21 -j DNAT --to-destination 192.168.1.2:21
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.2 -p tcp --sport 21 -j SNAT --to-source 192.168.0.254:21
（2）FTP服务器：被动模式
首先，要实现被动模式，且控制FTP服务器数据传输所使用的端口，那么得配置FTP服务器：/etc/vsftpd/vsftpd.conf，在该文件增加如下内容：
pasv_enable=yes #启动被动模式
pasv_min_port=4040 #被动模式vsftpd服务器所使用的端口范围
pasv_max_port=4080
其次，防火墙必须载入相关模块到内核
modprobe ip_nat
modprobe ip_conntrack
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp
最后，配置防火墙
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport 21 -j DNAT --to-destination 192.168.1.2:21
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.2 -p tcp --sport 21 -j SNAT --to-source 192.168.0.254:21
iptables -t nat -A PREROUTING -i eth1 -d 192.168.0.254 -p tcp --dport4040:4080 -j DNAT --to-destination 192.168.1.2:4040-4080
iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.2 -p tcp --sport 4040:4080 -j SNAT --to-source 192.168.0.254:4040-4080
注意：其实FTP服务器工作于主动模式还是被动模式，完全是由FTP客户端决定的！所以在vsftpd.conf文件里根本就没有必要配置上面这三条语句，配置那三条语句只是为了更好的控制FTP服务器被动模式下工作时数据传输端口

第4步：测试
windows xp(192.168.0.5) -> cmd -> ftp 192.168.0.254


5、案例5：通过防火墙限制局域网中的192.168.1.5机子使用飞信客户端软件

第1步：下载数据包分析工具（wireshark）
由于iptables工具扮演的是网络层的防火墙，所以在限制用户使用软件方面，一般只能通过从协议（TCP、UDP）对应的端口入手，通过限制这些协议对应的端口，来达到限制使用软件的目的；但是一些协议iptables是无法限制，例如：点对点协议
http://www.wireshark.org
http://www.wireshark.org/download/win32/wireshark-win32-1.2.7.exe

第2步：由于防火墙扮演着网关的角色，所以我们可以在网关上使用tcpdump进行抓包，该工具可以抓TCP类型的数据包
首先，在防火墙上运行tcpdump指令
tcpdump -i eth0 host 192.168.1.5 -s 0 -w feixing.pcap
参数分析：
（1）-i eth0：指的是在防火墙的充当网关的那个接口上进行抓包（因为局域网中的用户上网时，数据包都得通过网关）
（2）host + IP：指的是抓取含有192.168.2.5这个地址的数据包
（3）-s 0：表示数据包的长度不限
（4）-w：表示所抓到的数据包写入到一个文件
然后，在局域网的192.168.1.5这台机子上使用飞信客户端程序，登录飞信服务器，之后再切断防火墙的tcpdump指令（ctrl+c）

第3步：用wireshark软件对所抓到的数据包进行分析

第4步：局域网的那台机子（192.168.1.5）在使用飞信时，传送的数据包必须经过防火墙上的filter表的FORWARD进行转化，所以我们在FORWARD链上进行写入规则，来限制该台机子使用飞信客户端
#阻止客户端将相关的飞信数据包发给飞信服务器
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.176.31.69 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.176.31.45 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.130.45.212 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.130.45.201 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.130.45.198 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 221.130.44.232 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 218.61.204.91 -p tcp -m multiport --dport 80,8080,443 -j DROP
iptables -t filter -I FORWARD -i eth0 -s 192.168.1.5 -d 199.7.52.190 -p tcp -m multiport --dport 80,8080,443 -j DROP

iteye_13556
关注
Linux 企业应用案例
09-26
### Linux企业应用案例知识点概述 #### 一、企业网站架构 **知识点：** - **Apache/Nginx服务器配置与管理**：包括安装、基本配置、虚拟主机设置、SSL证书安装等。 - **负载均衡技术**：如使用HAProxy或Nginx实现...
Linux的iptables做代理服务器和防火墙详解
harryxlb的专栏
03-10 5668
用Linux的iptables做代理服务器和防火墙配置详细介绍     代理/防火墙     1.iptables规则表     Filter（针对过滤系统）：INPUT、FORWARD、OUTPUT     NAT（针对地址转换系统）：PREROUTING、POSTROUTING、INPUT、OUTPUT     Mangle（针对策略路由和特殊应用）：OUTPUT、POSTROUTI
Iptables和代理服务器联合控制访问的配置
weixin_34150830的博客
10-10 103
1.系统内核和iptables的编译 I、系统环境：RHEL5 [ 2.6.18-8.el5xen ] 软件环境： http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.25.19.tar.bz2 http://www.netfilter.org/projects/iptables/files/iptab...
防火墙与Squid代理服务器的搭建及应用
越努力越幸运~~ Java领域从业者；CSDN新兴创新博主；Java领域优质创作者；书写奋斗者故事;欢迎交流学习进步；
01-11 1052
iptables服务的安装 1． 安装iptables软件包 因为netfilter/iptables的netfilter组件是与内核集成在一起的，所以只需要安装iptables工具，默认情况下系统会安装该软件包，可通过下面命令检查是否已安装： 若输出了版本信息，则表明系统已安装。若未安装，可在RHEL 7.2安装光盘中找到安装包iptables-1.4.21-16.e17.x86_64进行安装...
【Linux】Iptables 详解与实战案例
康师傅没有眼泪
07-03 4214
​ netfilter/iptables（简称为iptables）组成 Linux 平台下的网络数据包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。...
服务器配置全攻略
09-25
#### 七、案例分析 1. **Windows Server配置实践**：通过实例展示如何在Windows Server上配置Web服务、FTP服务等。 2. **Linux系统配置实践**：详细介绍如何在Linux系统上安装Apache、Nginx等Web服务器软件，以及...
第六讲LVS深入及NAT集群调试.pptx
08-23
#### 五、案例分析 - **实战案例**：本课程通过具体的实战案例，详细讲解了如何构建基于 LVS 的 NAT 集群，并通过实际操作演示了集群的搭建过程。 - **系统架构图**：通过架构图清晰地展示了整个系统的组成以及各个...
《网络系统管理--Linux实训篇》 课件下载第八章
03-11
虽然课程提供了第七章的课件，但第八章的具体内容可能包括以上这些主题的扩展和深化，实践中可能会涉及更复杂的案例和实际问题的解决方案。通过这些学习，你将不仅理解Linux的基础知识，还能掌握解决实际网络系统...
linuxStack:Linux技术栈
05-15
8. **容器技术**：Docker和Kubernetes等容器技术在Linux上得到了广泛应用，它们简化了应用部署和管理，是现代云原生架构中的重要组件。 9. **版本控制系统**：Git是Linux世界中最常用的版本控制系统，掌握其基本...
如何利用iptables进行路由转发、端口映射
热门推荐
Baymini的博客
01-29 1万+
一、iptables简介 IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而...
iptables NAT
weixin_37583747的博客
07-06 292
SNAT    iptables -t nat -A POSTROUTING -s 1.1.1.1 -j SNAT --to-source 2.2.2.2    查看结果：iptables -t nat -nvL    DNAT    iptables -t nat -I PREROUTING -p tcp --dport 8086 -j DNAT --to-destination 1.1.1.1...
25个iptables常用示例
wuyy0224的博客
06-26 1260
本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，您可以根据特定需求对其进行修改调整以达到期望。格式iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]参数-P 设置默认策略:iptables -P INPUT (DROP|ACCEPT) -F 清空规则链 -L 查看规则链 -A 在规则链的末尾加入新规则 -I num 在规则链的头部加入新规则 -D num 删除某一条规则 -s 匹配来源地址IP/MASK，加叹号"!"表示除这个IP外。 -d 匹配目标
让Linux系统服务器的出网请求，全部走另外一台服务器教程
高性价比服务器就选：蓝易云
03-23 773
在做网站过程中有很多情况下需要让服务器的出网请求全部走另外一台服务器，例如一些国外服务器封禁邮件端口，想让邮件服务代理中转；或者服务器无防御，想让出网请求全部代理，防止被人找出真实IP。首先需要在代理服务器安装好V2ray，作为服务端，然后在需要改出网请求的服务器也安装V2ray，作为客户端。注意要替换里面的服务器IP，如果服务器IP是内网的，那就只填内网的就行，可以通过ifconfig命令查看。
iptables命令、规则、参数详解
diaoxihang5066的博客
12-28 953
表 (table)包含4个表：4个表的优先级由高到低：raw-->mangle-->nat-->filterraw---RAW表只使用在PREROUTING链和OUTPUT链上,因为优先级最高，从而可以对收到的数据包在连接跟踪前进行处理。一但用户使用了RAW表,在某个链上,RAW表处理完后,将跳过NAT表和ip_conntrack处理,即不再做地址转换和数据包的链...
使用IPtables允许指定mac地址可以访问Linux服务器
shishui07的博客
08-06 4149
使用IPtables允许指定mac地址可以访问Linux服务器实验环境iptables配置方式 实验环境 rhel7.5 虚拟机两台和Windows客户端一个 iptables配置方式 使用iptables可以允许指定ip地址访问本地服务器。也可以配置允许指定mac地址访问本地服务器 本实验中首先配置拒绝所有对本地服务器22端口访问，在terminal执行该命令后服务器会截断所有对22端口的访问，所以terminal会断开，因此请在服务器后台执行该命令，否则会出现连不上服务器的情况，后续命令无法执行。 ip
利用Linux中的iptables进行网络代理配置
最新发布
weixin_44617651的博客
11-30 871
作为资深爬虫技术员，爬虫需要代理IP池介入这是众所周知的。今天我将用我毕生所学，谈谈linux中使用iptables工具来进行网络配置，并通过linux系统创建属于自己的ip库池，如有错误望各位大佬指正。
linux 有外网机器其他内网通过iptables代理上网
XMYX-0
04-19 2027
linux 局域网中有外网机器其他内网服务器通过iptables代理上网
Linux里的防火墙（中）：使用iptables实现DNAT和SNAT
shinfocom
08-21 321
SNAT(源地址转换) 和 DNAT（目标地址转化）都是为了解决网络地址不足而演变出的技术。 相关概念： SNAT：源地址转换，顾名思义，就是为了将ip数据包里的源地址替换成我们希望替换掉的地址。 DNAT:目标地址转换，是为了将IP数据包中的目标地址转换成我们希望替换掉的地址。它们的应用： SNAT （一）想象一下，一个公司申请到了一个公网Ip，现在公司内有30台电脑，都处于192...
强化服务器安全：iptables防火墙配置实例解析
本文档详细介绍了如何通过配置iptables防火墙来增强服务器的安全性，适合对网络安全有一定了解但希望进一步提升服务器防护能力的读者学习。iptables，即Internet Protocol Table，是Linux系统中的一个强大的网络包...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值