CentOS 7 iptables 防火墙 SNAT DNAT 用法

Tom Ma.

已于 2023-12-06 09:22:16 修改

阅读量4.1k

点赞数 4

分类专栏： CentOS 文章标签：网络 linux

于 2020-04-28 12:19:52 首次发布

本文链接：https://blog.csdn.net/mshxuyi/article/details/105810627

版权

CentOS 专栏收录该内容

80 篇文章 6 订阅

订阅专栏

iptables 命令基本参数和用法

iptables［-t 表名］命令选项［链名]［条件匹配］［-j 目标动作或跳转］

说明：

表名链名：用于指定 iptables 命令所操作的表和链

命令选项：用于指定管理 iptables 规则的方式（比如：插入、增加、删除、查看等）

条件匹配：用于指定对符合什么样条件的数据包进行处理

动作跳转：用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转给其它链处理）

参数	作用
-P	设置默认策略：iptables -P INPUT（DROP｜ACCEPT）
-F	清空规则链
-L	查看规则链
-A	在规则链的末尾加入新规则
-I num	在规则链的头部加入新规则
-D num	删除某一条规则
-s	匹配来源地址IP/MASK，加叹号"!"表示除这个IP外。
-d	匹配目标地址
-i 网卡名称	匹配从这块网卡流入的数据
-o 网卡名称	匹配从这块网卡流出的数据
-p	匹配协议如tcp，udp，icmp
--dport num	匹配目标端口号
--sport num	匹配来源端口号

首先说说局域网内封包的传送

当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。
如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。
如果数据包是要转发出去的，且内核允许转发，数据包就会如图所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。

SNAT 和 DNAT 是 iptables 中使用 NAT 规则相关的的两个重要概念。如果内网主机访问外网而经过路由时，源 IP 会发生改变，这种变更行为就是 SNAT。反之当外网的数据经过路由发往内网主机时，数据包中的目的IP（路由器上的公网IP）将修改为内网 IP，这种变更行为就是 DNAT

在 VMware 创建2个虚拟机，环境如下

主机	名称	内网	模拟外网
网关服务器	kvm200	ens37：10.1.0.200（HOST）	ens33：192.168.26.200（NAT）
客户机	kvm201	ens37：10.1.0.201（HOST）

拓扑图：

一、kvm200 虚拟机

1、创建 2张网卡：一个NAT模式，一个仅主机模式

[root@kvm200 ~]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.26.200  netmask 255.255.255.0  broadcast 192.168.26.255
        inet6 fd15:4ba5:5a2b:1008:c0d8:937d:ed09:c0d5  prefixlen 64  scopeid 0x0<global>
        inet6 fe80::8735:cc32:f095:3e11  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:21:2a:53  txqueuelen 1000  (Ethernet)
        RX packets 38072  bytes 34377140 (32.7 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 16715  bytes 2201613 (2.0 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.1.0.200  netmask 255.255.255.0  broadcast 10.1.0.255
        inet6 fe80::8830:37df:81ac:3a00  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:21:2a:5d  txqueuelen 1000  (Ethernet)
        RX packets 12565  bytes 1468734 (1.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 27327  bytes 51224592 (48.8 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

2、检查网络互通

# 跟客户机 ens37 端口
[root@kvm200 ~]# ping 10.1.0.201 -c 4
PING 10.1.0.201 (10.1.0.201) 56(84) bytes of data.
64 bytes from 10.1.0.201: icmp_seq=1 ttl=64 time=0.436 ms
64 bytes from 10.1.0.201: icmp_seq=2 ttl=64 time=1.17 ms
64 bytes from 10.1.0.201: icmp_seq=3 ttl=64 time=2.39 ms
64 bytes from 10.1.0.201: icmp_seq=4 ttl=64 time=1.35 ms

--- 10.1.0.201 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3030ms
rtt min/avg/max/mdev = 0.436/1.342/2.399/0.702 ms


# 访问外网
[root@kvm200 ~]# ping www.baidu.com -c 4
PING www.a.shifen.com (112.80.248.76) 56(84) bytes of data.
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=1 ttl=128 time=24.5 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=2 ttl=128 time=26.3 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=3 ttl=128 time=23.1 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=4 ttl=128 time=24.6 ms

--- www.a.shifen.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3028ms
rtt min/avg/max/mdev = 23.152/24.702/26.397/1.155 ms

3、查看路由

[root@kvm200 ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.26.2    0.0.0.0         UG    102    0        0 ens33
10.1.0.0        0.0.0.0         255.255.255.0   U     101    0        0 ens37
192.168.26.0    0.0.0.0         255.255.255.0   U     102    0        0 ens33

二、kvm201 虚拟机

1、创建 1 张网卡：网络选仅主机模式，注意要手动指向网关服务器 10.1.0.200

vim /etc/sysconfig/network-scripts/ifcfg-ens37

# 省略
......
NAME=ens37
UUID=06bb4b98-8c50-4697-9168-651e5574c32e
DEVICE=ens37
ONBOOT=yes
IPADDR=10.1.0.201
NETMASK=255.255.255.0
GATEWAY=10.1.0.200    # 指向网关服务器

[root@kvm201 ~]# ifconfig
ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.1.0.201  netmask 255.255.255.0  broadcast 10.1.0.255
        inet6 fe80::135d:9bb7:e42:d740  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:6e:81:b3  txqueuelen 1000  (Ethernet)
        RX packets 27742  bytes 32541988 (31.0 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 9728  bytes 1257471 (1.1 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 25  bytes 2640 (2.5 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 25  bytes 2640 (2.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

2、查看路由表

（1）这里有一条默认网关，手动添加的命令：route add default gw 10.1.0.200

[root@kvm201 ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.1.0.200      0.0.0.0         UG    100    0        0 ens37
10.1.0.0        0.0.0.0         255.255.255.0   U     100    0        0 ens37

3、检查网络互通

# 跟网关服务器 ens37 端口
[root@kvm201 ~]# ping 10.1.0.200 -c 4
PING 10.1.0.200 (10.1.0.200) 56(84) bytes of data.
64 bytes from 10.1.0.200: icmp_seq=1 ttl=64 time=0.645 ms
64 bytes from 10.1.0.200: icmp_seq=2 ttl=64 time=1.28 ms
64 bytes from 10.1.0.200: icmp_seq=3 ttl=64 time=1.42 ms
64 bytes from 10.1.0.200: icmp_seq=4 ttl=64 time=1.60 ms

--- 10.1.0.200 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3087ms
rtt min/avg/max/mdev = 0.645/1.240/1.607/0.363 ms
[root@kvm201 ~]# 

# 跟网关服务器 ens33 端口
[root@kvm201 ~]# ping 192.168.26.200 -c 4
PING 192.168.26.200 (192.168.26.200) 56(84) bytes of data.
64 bytes from 192.168.26.200: icmp_seq=1 ttl=64 time=0.709 ms
64 bytes from 192.168.26.200: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.26.200: icmp_seq=3 ttl=64 time=0.966 ms
64 bytes from 192.168.26.200: icmp_seq=4 ttl=64 time=1.04 ms

--- 192.168.26.200 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3066ms
rtt min/avg/max/mdev = 0.709/0.950/1.085/0.149 ms

基础环境已经部署完成，现在 kvm 201是不能上网的，接下来我们配置 SNAT，让它可以上网

三、配置 SNAT、DNAT

1、网关服务器上开启转发功能

[root@kvm200 ~]# vim /etc/sysctl.conf

# 添加
net.ipv4.ip_forward = 1

# 生效
sysctl -p

2、网关服务器配置SNAT：源地址转换

能够让多个内网用户通过一个外网地址上网，解决了IP资源匮乏的问题，路由器也就使用此技术，使用 POSTROUTING

（1）如果有外网固定IP（本例）

[root@kvm200 ~]# iptables -t nat -A POSTROUTING -s 10.1.0.0/24 -j SNAT --to-source 192.168.26.200

（2）如果是动态 IP

# MASQUERADE（动态伪装），动态 IP 使用
iptables -t nat -A POSTROUTING -s 10.1.0.0/24 -j MASQUERADE

（3）此时 kvm201 就可以上网了

[root@kvm201 ~]# ping www.baidu.com -c 4
PING www.a.shifen.com (112.80.248.76) 56(84) bytes of data.
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=1 ttl=127 time=24.2 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=2 ttl=127 time=35.1 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=3 ttl=127 time=22.1 ms
64 bytes from 112.80.248.76 (112.80.248.76): icmp_seq=4 ttl=127 time=21.8 ms

--- www.a.shifen.com ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3092ms
rtt min/avg/max/mdev = 21.892/25.842/35.117/5.429 ms

3、网关服务器配置DNAT：目地地址转换

则能够让外网用户访问局域网内不同的服务器，使用 PREROUTING

（1）如果是本机端口跟其它主机端口转发：

访问服务器 2222 端口转到内网 kvm201机器 22 端口

[root@kvm200 ~]# iptables -t nat -A PREROUTING -d 192.168.26.200 -p tcp --dport 2222 -j DNAT --to-destination 10.1.0.201:22

（2）如果是本机端口转发

# 将发往本机 80 端口流量 转到本机 8080 端口
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

（3）宿主机打开 PowerShell 看下是否成功

PS C:\Users\shihua.ma.SBI> ssh root@192.168.26.200 -p 2222
The authenticity of host '[192.168.26.200]:2222 ([192.168.26.200]:2222)' can't be established.
ECDSA key fingerprint is SHA256:kF7UVt4ESc2S9PFATiAJaKLjI9Dvxjp9tsyj5TYuUn4.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[192.168.26.200]:2222' (ECDSA) to the list of known hosts.
root@192.168.26.200's password:
Last login: Thu Mar  9 11:19:03 2023 from 192.168.26.1
[root@kvm201 ~]#

（4）最后我们来看下网关服务器上面的 iptables中NAT表规则

[root@kvm200 ~]# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            192.168.26.200       tcp dpt:2222 to:10.1.0.201:22

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  10.1.0.0/24          0.0.0.0/0            to:192.168.26.200

其它常用场景

到本机应用的数据包：PREROUTING → INTPUT
由本机转发数据包：PREROUTING → FORWARD → OUTPUT
由本机应用发出的数据包：OUTPUT → POSTROUTING
本机作为lvs转发数据包：PREROUTING → INTPUT → IPVS → POSTROUTING

Tom Ma.

关注

4
点赞
踩
17

收藏

觉得还不错? 一键收藏
1
评论
CentOS 7 iptables 防火墙 SNAT DNAT 用法

iptables 命令基本参数和用法iptables –[A|I 链] [-i|o 网络接口] [-p 协议] [-s 来源ip/网域] [-d 目标ip/网域] –j[ACCEPT|DROP] 参数作用 -P 设置默认策略:iptables -P INPUT (DROP|ACCEPT) -F...............
复制链接

扫一扫

专栏目录