iptables 实现网络防火墙功能

最新推荐文章于 2024-07-26 10:07:20 发布
最新推荐文章于 2024-07-26 10:07:20 发布
阅读量923 收藏 3
点赞数 1
分类专栏： Linux运维 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kingdom_xu/article/details/108651091
版权

1 iptables 实现网络防火墙功能

1.1 环境准备

在这里插入图片描述

准备四台主机

两台CentOS 7，一台CentOS 8，一台CentOS 6

Internet：192.168.0.6/24 仅主机模式，网关：192.168.0.8

Firewall：NAT模式 eth0：10.0.0.8/24 eth1：192.168.0.8/24

LanServer-1：10.0.0.7/24 NAT模式，网关：10.0.0.8

LanServer-2：10.0.0.17/24 NAT模式，网关：10.0.0.8

注意：firewall上要开启ip_forward转发功能

测试各主机的连通性：

[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=0.927 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 0.927/0.927/0.927/0.000 ms

[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.96 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.966/1.966/1.966/0.000 ms

在这里插入图片描述

1.2 在Internet、LanServer-1和LanServer-2上配置httpd服务

[root@LanServer-1 ~]# yum -y install httpd;echo 10.0.0.7 website > /var/www/html/index.html;systemctl start httpd

[root@LanServer-2 ~]# yum -y install httpd;echo 10.0.0.17 website > /var/www/html/index.html;systemctl start httpd

[root@internet ~]# yum -y install httpd;echo 192.168.0.6 website > /var/www/html/index.html;service httpd start

#测试验证
[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@internet ~]#curl 10.0.0.7;curl 10.0.0.17
10.0.0.7 website
10.0.0.17 website

1.3 在防火墙上添加规则，实现公司内部局域网可以访问外网Internet的所有服务，而外网也能访问内网的所有服务

#在firewall上配置规则
[root@firewall ~]#iptables -A FORWARD -j REJECT
[root@firewall ~]#iptables -R FORWARD 1 -d 10.0.0.0/24 -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD -s 10.0.0.0/24 -j ACCEPT
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -s 10.0.0.0/24 -j ACCEPT
-A FORWARD -d 10.0.0.0/24 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#测试验证
[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.19 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.191/2.191/2.191/0.000 ms
[root@LanServer-1 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=0.823 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 0.823/0.823/0.823/0.000 ms
[root@LanServer-2 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C

在这里插入图片描述

1.4 实现公司内网可以访问指定的外网http服务，外网不能访问指定的内网http服务

#在firewall上配置规则
[root@firewall ~]#iptables -A FORWARD -j REJECT
[root@firewall ~]#iptables -I FORWARD -d 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD -s 10.0.0.0/24 -p tcp --sport 80 -j ACCEPT
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -s 10.0.0.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -d 10.0.0.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#测试验证Internet外网可以访问内网的http服务，而内网不能访问外网的http服务
[root@LanServer-1 ~]# curl 192.168.0.6
curl: (7) Failed connect to 192.168.0.6:80; Connection refused
[root@LanServer-2 ~]# curl 192.168.0.6
curl: (7) Failed connect to 192.168.0.6:80; Connection refused

在这里插入图片描述

注意：这样外网虽然可以访问内网，但存在安全隐患

1.5 实现外网不能ping 同内网，而内网可以ping 同外网

#在firewall上配置规则
#icmp类型：0是响应报文，8是请求报文
[root@firewall ~]#iptables -I FORWARD -s 10.0.0.0/24 -p icmp --icmp-type 8 -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD -d 10.0.0.0/24 -p icmp --icmp-type 0 -j ACCEPT 
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -d 10.0.0.0/24 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -d 10.0.0.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#测试验证
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.03 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.033/1.033/1.033/0.000 ms
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.21 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.214/1.214/1.214/0.000 ms
[root@firewall ~]#iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   74  6216 ACCEPT     icmp --  *      *       0.0.0.0/0            10.0.0.0/24          icmptype 0
  119  9996 ACCEPT     icmp --  *      *       10.0.0.0/24          0.0.0.0/0            icmptype 8
   16  1898 ACCEPT     tcp  --  *      *       10.0.0.0/24          0.0.0.0/0            tcp spt:80
   27  2106 ACCEPT     tcp  --  *      *       0.0.0.0/0            10.0.0.0/24          tcp dpt:80
   76  6032 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

在这里插入图片描述

1.6 实现外网不能访问内网的http服务，但内网可以访问外网的http服务

#在firewall上配置规则
[root@firewall ~]#iptables -A FORWARD -j REJECT
[root@firewall ~]#iptables -I FORWARD -s 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD -d 10.0.0.0/24 -p tcp --sport 80 -j ACCEPT
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -d 10.0.0.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#测试验证
[root@LanServer-1 ~]# curl  192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@firewall ~]#iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   20  2220 ACCEPT     tcp  --  *      *       0.0.0.0/0            10.0.0.0/24          tcp spt:80
   26  1732 ACCEPT     tcp  --  *      *       10.0.0.0/24          0.0.0.0/0            tcp dpt:80
   22  1528 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

在这里插入图片描述

在原有规则的基础上，接下来实现外网可以访问LanServer-1上的http服务

#在firewall上追加规则
[root@firewall ~]#iptables -I FORWARD 3 -d 10.0.0.7 -p tcp --dport 80 -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD 3 -s 10.0.0.7 -p tcp --sport 80 -j ACCEPT
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -d 10.0.0.0/24 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -s 10.0.0.7/32 -p tcp -m tcp --sport 80 -j ACCEPT
-A FORWARD -d 10.0.0.7/32 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#测试验证
[root@LanServer-1 ~]# curl  192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@firewall ~]#iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   35  3885 ACCEPT     tcp  --  *      *       0.0.0.0/0            10.0.0.0/24          tcp spt:80
   41  2761 ACCEPT     tcp  --  *      *       10.0.0.0/24          0.0.0.0/0            tcp dpt:80
   24  2844 ACCEPT     tcp  --  *      *       10.0.0.7             0.0.0.0/0            tcp spt:80
   38  3006 ACCEPT     tcp  --  *      *       0.0.0.0/0            10.0.0.7             tcp dpt:80
   52  3696 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

在这里插入图片描述

实现内网可以访问外网的所有服务，但外网只能访问LanServer-1上的http服务

#清空原有规则
[root@firewall ~]#iptables -A FORWARD -j REJECT
[root@firewall ~]#iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD -m state  -s 10.0.0.0/24 --state NEW -j ACCEPT 
[root@firewall ~]#iptables -I FORWARD 3 -d 10.0.0.7 -p tcp --dport 80 -j ACCEPT 
[root@firewall ~]#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A FORWARD -s 10.0.0.0/24 -m state --state NEW -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 10.0.0.7/32 -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

#验证测试
[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.25 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.251/2.251/2.251/0.000 ms
[root@LanServer-1 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.80 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.800/1.800/1.800/0.000 ms
[root@LanServer-2 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C

在这里插入图片描述

注意：此方法还是存在安全隐患

2. iptables 实现NAT的实战案例

在这里插入图片描述

2.1 案例1：实现SNAT

目的：
实现内网可以访问外网，而外网不能访问内网

2.1.1 环境准备

准备四台主机

两台CentOS 7，一台CentOS 8，一台CentOS 6

internet：192.168.0.6/24 仅主机模式，#不需要配置网关

Firewall：NAT模式 eth0：10.0.0.8/24 eth1：192.168.0.8/24

LanServer-1：10.0.0.7/24 NAT模式，网关：10.0.0.8

LanServer-2：10.0.0.17/24 NAT模式，网关：10.0.0.8

2.1.2 在Internet、LanServer-1和LanServer-2上配置http服务

[root@LanServer-1 ~]# yum -y install httpd;echo 10.0.0.7 website > /var/www/html/index.html;systemctl start httpd

[root@LanServer-2 ~]# yum -y install httpd;echo 10.0.0.17 website > /var/www/html/index.html;systemctl start httpd

[root@internet ~]# yum -y install httpd;echo 192.168.0.6 website > /var/www/html/index.html;service httpd start

#测试验证
[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@internet ~]#curl 10.0.0.7;curl 10.0.0.17
10.0.0.7 website
10.0.0.17 website

2.1.3 在firewall上配置规则

注意：firewall上要开启ip_forward转发功能

[root@firewall ~]#iptables -F
#针对专线静态公共IP
[root@firewall ~]#iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.0.8
[root@firewall ~]#iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.0.8
#针对拨号网络和专线静态公共IP，建议使用此方法，此方法更适用
#[root@firewall ~]#iptables -t nat -R POSTROUTING 1 -s 10.0.0.0/24 -j MASQUERADE

2.1.4 测试验证

[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.91 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.915/2.915/2.915/0.000 ms
[root@LanServer-1 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.33 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.337/2.337/2.337/0.000 ms
[root@LanServer-2 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C

在这里插入图片描述

2.2 案例2：实现DNAT

2.2.1 环境准备

准备四台主机

两台CentOS 7，一台CentOS 8，一台CentOS 6

internet：192.168.0.6/24 仅主机模式，#不需要配置网关

Firewall：NAT模式 eth0：10.0.0.8/24 eth1：192.168.0.8/24

LanServer-1：10.0.0.7/24 NAT模式，网关：10.0.0.8

LanServer-2：10.0.0.17/24 NAT模式，网关：10.0.0.8

2.2.2 在Internet、LanServer-1和LanServer-2上配置http服务

[root@LanServer-1 ~]# yum -y install httpd;echo 10.0.0.7 website > /var/www/html/index.html;systemctl start httpd

[root@LanServer-2 ~]# yum -y install httpd;echo 10.0.0.17 website > /var/www/html/index.html;systemctl start httpd

[root@internet ~]# yum -y install httpd;echo 192.168.0.6 website > /var/www/html/index.html;service httpd start

#测试验证
[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@internet ~]#curl 10.0.0.7;curl 10.0.0.17
10.0.0.7 website
10.0.0.17 website

2.2.3 在firewall上配置规则

注意：firewall上要开启ip_forward转发功能

[root@firewall ~]#iptables -t nat -R PREROUTING 1 -d 192.168.0.8 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.7
[root@firewall ~]#iptables -S -t nat 
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-A PREROUTING -d 192.168.0.8/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.0.0.7
-A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE

2.2.4 测试验证

[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.91 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.915/2.915/2.915/0.000 ms
[root@LanServer-1 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=2.33 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 2.337/2.337/2.337/0.000 ms
[root@LanServer-2 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C

在这里插入图片描述

2.3 案例3：实现redirect本地端口转发

2.3.1 环境准备

#同上配置

2.3.2 在Internet、LanServer-1和LanServer-2上配置http服务

#同上配置

2.3.3 在firewall上配置规则

#同上配置

2.3.4 在LanServer-1上配置本地转发规则

#修改80端口号为8080
[root@LanServer-1 ~]# vim /etc/httpd/conf/httpd.conf
Listen 8080
[root@LanServer-1 ~]# systemctl restart httpd
[root@LanServer-1 ~]# ss -ntl
State       Recv-Q Send-Q      Local Address:Port                     Peer Address:Port              
LISTEN      0      100             127.0.0.1:25                                  *:*                  
LISTEN      0      128                     *:22                                  *:*                  
LISTEN      0      100                 [::1]:25                               [::]:*                  
LISTEN      0      128                  [::]:8080                             [::]:*                  
LISTEN      0      128                  [::]:22                               [::]:*     

#注意：由于在本机上转发端口，所以不需要开启ip_forward转发功能
[root@LanServer-1 ~]# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

2.3.5 测试验证

[root@LanServer-1 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-1 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.19 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.197/1.197/1.197/0.000 ms
[root@LanServer-1 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C
[root@LanServer-2 ~]# curl 192.168.0.6
192.168.0.6 website
[root@LanServer-2 ~]# ping -c1 192.168.0.6
PING 192.168.0.6 (192.168.0.6) 56(84) bytes of data.
64 bytes from 192.168.0.6: icmp_seq=1 ttl=63 time=1.93 ms

--- 192.168.0.6 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 1.931/1.931/1.931/0.000 ms
[root@LanServer-2 ~]# ssh 192.168.0.6
The authenticity of host '192.168.0.6 (192.168.0.6)' can't be established.
RSA key fingerprint is SHA256:e311kZO35oN41c/oLBg4RhkSuREAdJfOeImiBZ88Oa0.
RSA key fingerprint is MD5:f5:cb:dc:93:35:47:0e:5f:9a:06:c6:8e:d0:05:a2:20.
Are you sure you want to continue connecting (yes/no)? ^C

在这里插入图片描述

3. NAT综合实验案例

目的：
实现SNAT和DNAT的综合案例
能让LanSer1和RemSer互相通信

在这里插入图片描述

3.1 环境准备

四台主机：两台CentOS 8，一台CentOS 6，一台CentOS 7
LanSer：192.168.0.6/24 网关：192.168.0.8 仅主机vmnet1
RemSer：172.16.0.7/24 网关：172.16.0.18 仅主机vmnet6
firewall-1：eth0：10.0.0.8/24 eth1：192.168.0.8/24 NAT模式
firewall-2：eth0：10.0.0.18/24 eth1：172.16.0.18/24 NAT模式

3.2 在LanSer和RemSer上配置http服务

[root@LanSer ~]#yum -y install httpd;echo LanSer website > /var/www/html/index.html;service httpd start;chkconfig httpd on
[root@RemSer ~]#yum -y install httpd;echo RemSer website > /var/www/html/index.html;systecm enable --now httpd

#测试验证http服务
[root@LanSer ~]#curl 127.0.0.1
LanSer website
[root@RemSer ~]#curl 127.0.0.1
RemSer website

3.3 配置规则

#开启ip_forward转发功能
[root@firewall-1 ~]#echo 1 > /proc/sys/net/ipv4/ip_forward

#先实现LanSer能访问RemSer的http服务
#在firewall-1上配置SNAT
[root@firewall-1 ~]#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
#在firewall-2上配置DNAT
[root@firewall-2 ~]#iptables -t nat -A PREROUTING -d 10.0.0.18 -p tcp --dport 80 -j DNAT --to-destination 172.16.0.7:80

#验证测试
[root@LanSer ~]#curl 10.0.0.18
RemSer website

在这里插入图片描述

#开启ip_forward转发功能
[root@firewall-2 ~]#echo 1 > /proc/sys/net/ipv4/ip_forward

#再实现RemSer能访问LanSer的http服务
#在firewal-2上配置SNAT
[root@firewall-2 ~]#iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -j MASQUERADE
#在firewall-1上配置DNAT
[root@firewall-1 ~]#iptables -t nat -A PREROUTING -d 10.0.0.8 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.6:80

#验证测试
[root@RemSer ~]#curl 10.0.0.8
LanSer website

[外链图片转存中...(img-H0SiU5pt-1600341737249)]

kingdom_xu
关注
专栏目录
Linux 防火墙（一）（防火墙基础与编写防火墙规则）
Xucf1
12-28 4158
文章目录前言一、Linux 防火墙基础1.概述2.netfilter 与 iptables2.1 netfilter2.2 iptables2.3 小结3.iptables 的表、链结构3.1 简介3.2 规则表（四表）3.3 规则链（五链）4.数据包过滤的匹配流程4.1 规则表之间的匹配顺序4.2 规则链之间的顺序4.3 规则链内部各条防火墙规则之间的顺序二、编写防火墙规则1.安装iptables2.基本语法3.常用的控制类型4.常用的管理选项4.1 添加新的规则4.2 查看规则表4.3 设置默认策略4.
用Iptables实现Linux的防火墙功能
Linux for Anything !
08-19 1659
用Iptables实现Linux的防火墙功能 --------------------------------------------------------------------------------------------------- 本文首发于CSDN，转载请注明
一文详解iptables基础知识
最新发布
u011029104的专栏
07-26 611
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。
iptables防火墙
jcrhl321的博客
05-01 1765
一、iptables防火墙概述 Linux 系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上 netfilter: 位于linux内核中的防火墙功能体系 是内核的一部分，由–些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集 iptables: 属于“用户态”(User Space， 又称为用户空间) 的防火墙管理体系 是一种用来管理Linux防火墙..
Linux下怎样利用Iptables实现网络防火墙的监控功能.pdf
09-06
Linux下怎样利用Iptables实现网络防火墙的监控功能.pdf
详解Android 利用Iptables实现网络黑白名单(防火墙)
01-05
一、概述 为了使读此简笔的人对Iptables有一个简单的了解，此处...但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核当中，这样规则才能够运行起来，而放进内核，这个做法一般是极其困难的)。当内核发展到
基于Iptables的Linux防火墙
MAY的博客
05-10 1475
防火墙是整个数据包进入主机前的第一道关卡。是一种位于内部网络与外部网络之间的网络安全系统，是一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。
iptables实现网络防火墙及地址转换
reblue520的专栏
02-25 5242
FSM:Finite State Machine 有限状态机 客户端：closed -->syn_sent -->established --> fin_wait_1 -->find_wait_2 --> timewait(2MSL) 服务器：closed -->listen -->syn_rcvd -->establised --> close_wait -->last_ack -
使用iptables实现Linux防火墙配置
# 1. Linux防火墙基础 ## 1.1 Linux防火墙概述 在计算机网络安全中，防火墙（Firewall）是一种网络安全系统，用于控制数据包在两个或多个网络之间流动...在Linux系统中，常见的防火墙解决方案包括iptables、firewall
iptables实现网络防火墙
aryoyo的博客
12-30 666
测试环境，建立3个虚拟机器： A机器使用bridged模式：hostname是demo，ip地址是 192.168.0.106 B机器2个网卡:hostname是rhel64-64bit，bridged的网卡地址：192.168.0.101                                                                   host-only的网卡地...
Iptables防火墙详细介绍
qq_42158153的博客
10-28 806
一：Linux防火墙基础： Linux防火墙体系主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（也称网络层防火墙）； Linux防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，因此被广泛的应用。 1.Netfilter和iptables的区别： Netfilter: 指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内核态”（KernelSpace，又称内核空间）的防火墙功能体系； Iptables：指的是用来管理Linux.
摇摆摇摆~防火墙
weixin_68579466的博客
07-14 1148
位于linux内核中的包过滤功能体系称为linux防火墙的“内核态”iptables的作用是为包过滤机制的实现提供规则，通过各种不同的规则，告诉netfilter对来自某些源，前往某些目的或具有某些协议特征的数据包应该如何处理，为了更加方便的组织和管理防火墙规则，iptables采用了表和链的分层结构所以它会对请求的数据包的包头数据进行分析，根据我们预先设定的规则进行匹配来决定是否可以进入主机。...
iptables详解
wdt3385的专栏
12-25 4930
看完下面这个iptables的讲解一下子豁然开朗，写的很详细 一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的
Linux中的防火墙netfilter/iptables 简介
码海小虾米_的博客
05-24 1220
防火墙netfilter/iptables一、Linux防火墙基础1.1 ptables的表、链结构1.1.1 Linux包过滤防火墙概述1.2 数据包控制的匹配流程1.2.1 四表1.2.2 五链1.2.3 四表五链总结1.2.4 规则链之间的匹配顺序1.2.5 规则链内的匹配顺序∶二、编写防火墙规则准备工作：2.1 基本语法、控制类型2.1.1 iptables防火墙的配置方法∶2.1.2 iptables 命令行配置方法∶2.1.3 常用的控制类型∶2.1.4 常用的管理选项∶2.2 添加、查看、删除
Linux iptables防火墙设置教程：实现网络安全防护
尽管iptables提供了基本的防火墙功能，但随着网络安全需求的增长，应用层网关和电路层网关防火墙也在发展中，它们可能提供更高级别的服务，如应用级的认证和代理功能。然而，iptables因其简洁易用和高度可定制性，...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值