iptables防火墙二

vim /etc/sysctl.conf

一、SNAT原理及应用

1、SNAT概述

SNAT应用环境：局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

SNAT原理：源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

SNAT转换前提条件：

（1）局域网各主机已正确设置IP地址、子网掩码、默认网关地址

（2）Linux网关开启IP路由转发

Linux想系统本身是没有转发功能，只有路由发送数据

2.开启SNAT命令

临时打开
echo 1 > /proc/sys/net/ipv4/ip_forward
或sysctl -w net.ipv4.ip_forward=1

永久打开：
vim /etc/sysctl.conf
net.ipv4.ip_forward=1			将此行写入配置文件
sysctl -p 						读取修改后的配置
注：还有一种方式使用静态路由，但操作较为麻烦

（1）SNAT转换1：固定的公网IP地址：

配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源改为10.0.0.1

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT -to 10.0.0.1
									可以缓存单独IP       出站外网网卡		  外网IP

或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
									内网IP			  出站外网网卡				 外网IP或地址池

（2）SNAT转换2：非固定的公网IP地址（共享动态IP地址）：

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

通常一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网

SNAT转换工作原理

​

 3、SANT案例

web服务器ip:192.168.100.100 关闭防火墙和selinux，开启http服务

网关服务器内网IP:192.168.100.100 ;外网ip:12.0.0.1 ;关闭防火墙和selinux、开启http服务

win7客户端ip:12.0.0.100

​

 （1）两台虚拟机安装httpd服务。iptables服务并启动

​

​

​

（2）在虚拟机一上的操作

将原先网络连接改成相应网段的自定义模式​​

 新建一个网卡（ens37）使用VMnet3将网络连接改成10.0.0.0的网段

​

 修改ens33和ens37网卡信息

​

 vim ifcfg-ens33

​

 vim ifcfg-ens37

​

 重启网卡并查看是否修改成功

​

 修改配置文件永久开启ip路由转发

vim /etc/sysctl.conf

手动添加

net.ipv4.ip_forward =1

 

SNAT转换：固定的公网IP地址

 （3）在虚拟机二上的操作

更改网络设配器

 修改网卡并启动

vim  /etc/sysconfig/network-scripts/ifcfg-ens33

 

 （4）window10机器上的操作

修改window10的网络适配器

 修改windows网络设置

 验证结果

 

二、DNAT的原理及应用

1.DNAT的概述

DANT应用环境：在Internet中发布位于局域网内的服务器

DNAT原理：目的地址转换，根据指定条件修改数据包的目的IP地址，保证内网服务器的安全，通常被叫做目的映射

DNAT转换的前提条件:

1.局域网的服务器能够访问Internet

2.网关的外网地址有正确的DNS解析记录

3.Linux网关开启IP路由转发
 

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
sysctl -p

DNAT转换：发布内网的Web服务

把从ens37进来的web服务的数据包目的地址转换为192.168.100.118
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.118
或
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p -tcp --dport 80 -j DNAT --to-destination 192.168.100.118

2、DNAT的实验：两台虚拟机，一台window10

实验拓扑

 （1）在虚拟机一上进行操作

 

（2） 在虚拟机二上进行操作

修改网卡并重启

 

 设置DNAT转换

 （3）在window10机器上验证结果

 三、临时修改目标端口

发布局域网内部的OpenSSH服务器，外网主机使用250端口进行连接
iptables -t nat -A PROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22

在外网环境中使用SSH测试
ssh -p 250 root@12.0.0.1
yum -y install net-tools 若没有ifconfig 命令可提前使用yum进行安装
ifconfig ens33
注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回

 四、防火墙规则的备份和还原

  主机型防火墙主要使用INPUT、OUTPUT链，设置规则时一般要详细到指定端口

网络型防火墙主要使用FORWARD链，设置规则时很少去指定到端口，一般指定到IP地址或网段即可

iptables-save > /opt/iptables.txt        导出备份所有表的规则

 导入(还原)规则

iptables-restore < /opt/iptables.txt	备份好的文件进行还原
将iptables规则文件保存在/etc/sysconfig/iptables中，iptables服务启动时会自动还原规则
iptables-save > /etc/sysconfig/iptables
systemctl stop iptables 停止iptables服务会清空掉所有表的规则
systemctl start iptables 启动iptables服务会自动还原/etc/sysconfig/iptables中的规则

总结

上述主要用两个实例来讲解了iptables的SNAT、DNAT实际应用

SNAT局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

DNAT目的地址转换，根据指定条件修改数据包的目的IP地址，保证内网服务器的安全，通常被叫做目的映射

SNAT就是源地址变，目标地址不变。

DNAT源地址不变，目标地址不变。