Linux防火墙iptables之SNAT与DNAT

目录

一、SNAT策略及应用

1.1SNAT策略概述

1.2开启SNAT的命令

1.2.1临时打开

1.2.2永久打开

1.3SNAT转换1:固定的公网IP地址

1.4SNAT转换2:非固定的公网IP地址(共享动态IP地址)

1.5SNAT案例

1.5.1实验准备

1.5.2 配置网关服务器（192.168.100.100/10.0.0.1）的相关配置

1.5.2 配置外网服务器（10.0.0.12）的相关配置

1.5.3 win10服务器（192.168.100.120）的相关配置

 1.5.4 验证

二、DNAT策略与应用

2.1DNAT应用环境

2.2DNAT原理

2.3 DNAT转换前提条件

2.4 DNAT实现的配置

2.4.1 win10机器的配置

2.4.2  第二台机器配置

2.4.3 配置网关服务器的iptables规则

 2.4.4 验证

---

一、SNAT策略及应用

1.1SNAT策略概述

SNAT 应用环境：
局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)

SNAT原理：
源地址转换
修改数据包的源地址

SNAT转换前提条件：
局域网各主机已正确设置IP地址、子网掩码、默认网关地址
Linux网关开启IP路由转发

1.2开启SNAT的命令

1.2.1临时打开

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

1.2.2永久打开

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1                #将此行写入配置文件
 
sysctl -P                #读取修改后的配置

1.3SNAT转换1:固定的公网IP地址

#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                    可换成单独IP   出站外网网卡            外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                     内网IP   出站外网网卡                    外网IP或地址池

1.4SNAT转换2:非固定的公网IP地址(共享动态IP地址)

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

1.5SNAT案例

1.5.1实验准备

web服务器ip：192.168.100.118（nat1）、关闭防火墙和selinux、开启http服务
网关服务器内网ip：192.168.100.100（nat1）；外网ip：10.0.0.1（nat2）、关闭防火墙和selinux、开启http服务
win10客户端ip：10.0.0.12（nat2）
VMware的虚拟网络编辑器中默认nat模式网段：192.168.100.0，nat2模式网段：10.0.0.0
 

1.5.2 配置网关服务器（192.168.100.100/10.0.0.1）的相关配置

1.添加两块虚拟网卡，并自定义

 2.复制并修改ens37网卡

3 .33的网卡配置

 4.重启网络 

systemctl restart network

 5.安装iptables，关闭防火墙和selinux，开启iptables

[root@localhost network-scripts]#yum install -y iptables*
@localhost network-scripts]#systemctl stop firewalld.service 
[root@localhost network-scripts]#setenforce 0
[root@localhost network-scripts]#systemctl start iptables.service

6.查看网关服务器的iptables规则并清除

iptables -nL            #查看规则
iptables -nL -t nat        #查看规则
iptables -F                #清除iptables的规则
iptables -F -t nat        #清除iptables的规则

 7.添加 SNAT转换∶固定的公网IP地址

[root@localhost yum.repos.d]#iptables -F -t nat
[root@localhost yum.repos.d]#iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1
[root@localhost yum.repos.d]#iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.100.0/24     0.0.0.0/0            to:12.0.0.1

1.5.2 配置外网服务器（10.0.0.12）的相关配置

1.修改enss网卡模式为仅主机模式

2.修改ens33网卡

3.重启网络服务

systemctl restart network

 4.查看httpd服务是否安装并且正常运行

1.5.3 win10服务器（192.168.100.120）的相关配置

1.修改enss网卡模式为仅主机模式

 2.修改其ip

 1.5.4 验证

二、DNAT策略与应用

2.1DNAT应用环境

在Internet中发布位于局域网内的服务器

2.2DNAT原理

修改数据包的目的地址

2.3 DNAT转换前提条件

局域网的服务器能够访问Internet
网关的外网地址有正确的DNS解析记录
Linux网关开启IP路由转发

vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1 
sysct1 -p

2.4 DNAT实现的配置

2.4.1 win10机器的配置

 

更改其ip地址 

2.4.2  第二台机器配置

 

 修改后重启网卡

2.4.3 配置网关服务器的iptables规则

 2.4.4 验证