CentOS8 iptables之NAT

最新推荐文章于 2023-10-23 17:55:38 发布
最新推荐文章于 2023-10-23 17:55:38 发布
阅读量1.2k 收藏 3
点赞数
分类专栏： Linux 文章标签： linux ssh
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43652666/article/details/120264489
版权

SNAT

拓扑图：
在这里插入图片描述

基础配置

实验准备：
firewall主机

[root@firewall ~]#cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
IPADDR=10.0.0.5
PREFIX=24
GATEWAY=10.0.0.2
DEFROUTE=yes
DNS1=10.0.0.2
DNS2=223.5.5.5
DNS3=211.136.20.203
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
NAME=ens33
UUID=91a133de-1837-4d97-9a1c-90fa4c71ebe5
DEVICE=ens33
ONBOOT=yes
[root@firewall ~]#cat /etc/sysconfig/network-scripts/ifcfg-ens36
TYPE=Ethernet
BOOTPROTO=static
IPADDR=192.168.10.5
PREFIX=24
DEFROUTE=yes
NAME=ens36
DEVICE=ens36
ONBOOT=yes

#重新加载网卡配置
[root@centos8 ~]#nmcli con reload
[root@centos8 ~]#nmcli con up ens36
Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/4)

[root@centos8 ~]#ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:f6:1b:96 brd ff:ff:ff:ff:ff:ff
    inet 10.0.0.5/24 brd 10.0.0.255 scope global noprefixroute ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fef6:1b96/64 scope link noprefixroute
       valid_lft forever preferred_lft forever
3: ens36: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:f6:1b:a0 brd ff:ff:ff:ff:ff:ff
    inet 192.168.10.5/24 brd 192.168.10.255 scope global noprefixroute ens36
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fef6:1ba0/64 scope link
       valid_lft forever preferred_lft forever

更改主机名

[root@centos8 ~]#hostname firewall
[root@centos8 ~]#bash

启用路由转发

[root@firewall ~]#sysctl -a | grep ip_forward
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_update_priority = 1
net.ipv4.ip_forward_use_pmtu = 0
[root@firewall ~]#cat /etc/sysctl.conf
# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).
net.ipv4.ip_forward = 1

#使配置生效
[root@firewall ~]#sysctl -p
net.ipv4.ip_forward = 1

开启路由转发功能之后，10网段和192网段此时已经互通了
删掉默认的路由表

[root@firewall ~]#ip route
default via 10.0.0.2 dev ens33 proto static metric 100
10.0.0.0/24 dev ens33 proto kernel scope link src 10.0.0.5 metric 100
192.168.10.0/24 dev ens36 proto kernel scope link src 192.168.10.5 metric 101
[root@firewall ~]#ip route del default via 10.0.0.2 dev ens33 proto static metric 100
[root@firewall ~]#ip route
10.0.0.0/24 dev ens33 proto kernel scope link src 10.0.0.5 metric 100
192.168.10.0/24 dev ens36 proto kernel scope link src 192.168.10.5 metric 101

设置防火墙规则：

#除了10网段的网络访问都拒绝
[root@firewall ~]#iptables -A FORWARD ! -s 10.0.0.0/24 -d 10.0.0.0/24 -m state --state NEW -j REJECT
[root@firewall ~]#iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    1    60 REJECT     all  --  *      *      !10.0.0.0/24          10.0.0.0/24          state NEW reject-with icmp-port-unreachable

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

#设置nat转换 在postrouting表中设置
[root@firewall ~]#iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 10.0.0.5
#查看防火墙规则是否生效
[root@firewall ~]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 SNAT       all  --  *      *       192.168.10.0/24      0.0.0.0/0            to:10.0.0.5

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Lanserver1主机

[root@centos8 ~]#hostname lanserver1;bash
#网卡配置
[root@lanserver1 ~]#cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
IPADDR=10.0.0.6
NETMASK=255.255.255.0
GATEWAY=10.0.0.5
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
NAME=ens33
UUID=fe4d2230-1a83-467c-a338-eda6e7a5119a
DEVICE=ens33
ONBOOT=yes
#重新加载网卡配置
[root@centos8 ~]#nmcli con reload
[root@centos8 ~]#nmcli con up ens33
Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/2)

Lanserver2主机

[root@lanserver2 ~]#cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
BOOTPROTO=static
IPADDR=10.0.0.7
NETMASK=255.255.255.0
GATEWAY=10.0.0.5
DNS1=223.5.5.5

客户端：
注意客户端不配置网关

[root@localhost ~]# cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="static"
IPADDR=192.168.10.10
NETMASK=255.255.255.0
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="554f0ed4-9978-4844-85ee-97e4d68b5401"
DEVICE="ens33"
ONBOOT="yes"

[root@localhost ~]# ip route
192.168.10.0/24 dev ens33 proto kernel scope link src 192.168.10.10 metric 100

防火墙配置

#设置防火墙除了访问10网段外的地址自动使用公网地址 这里指的是防火墙的10.0.0.5地址
[root@firewall ~]#iptables -t nat -A POSTROUTING -s 10.0.0.0/24 ! -d 10.0.0.0/24 -j MASQUERADE
[root@firewall ~]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 MASQUERADE  all  --  *      *       10.0.0.0/24         !10.0.0.0/24

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
测试

lanserver1 ping192网段

[root@lanserver1 ~]#ping 192.168.10.10
PING 192.168.10.10 (192.168.10.10) 56(84) bytes of data.
64 bytes from 192.168.10.10: icmp_seq=1 ttl=63 time=0.935 ms
64 bytes from 192.168.10.10: icmp_seq=2 ttl=63 time=0.515 ms
64 bytes from 192.168.10.10: icmp_seq=3 ttl=63 time=1.71 ms
64 bytes from 192.168.10.10: icmp_seq=4 ttl=63 time=1.84 ms

客户端抓包测试

[root@localhost ~]# tcpdump -i ens33 -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
14:30:25.832929 IP 192.168.10.5 > 192.168.10.10: ICMP echo request, id 29439, seq 1, length 64
14:30:25.832956 IP 192.168.10.10 > 192.168.10.5: ICMP echo reply, id 29439, seq 1, length 64
14:30:26.836322 IP 192.168.10.5 > 192.168.10.10: ICMP echo request, id 29439, seq 2, length 64
14:30:26.836340 IP 192.168.10.10 > 192.168.10.5: ICMP echo reply, id 29439, seq 2, length 64
14:30:27.848660 IP 192.168.10.5 > 192.168.10.10: ICMP echo request, id 29439, seq 3, length 64
14:30:27.848769 IP 192.168.10.10 > 192.168.10.5: ICMP echo reply, id 29439, seq 3, length 64

DNAT

在firewall中添加防火墙规则

[root@firewall ~]#iptables -t nat -A PREROUTING -d 192.168.10.5 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.6
[root@firewall ~]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.10.5         tcp dpt:80 to:10.0.0.6

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    1    84 MASQUERADE  all  --  *      *       10.0.0.0/24         !10.0.0.0/24

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

192网段测试

[root@localhost ~]# curl 192.168.10.5
lanserver1

#查看lanserver1的访问日志，是可以看到源IP的
[root@lanserver1 ~]#tail /var/log/httpd/access_log -f
10.0.0.5 - - [13/Sep/2021:12:23:21 +0800] "GET / HTTP/1.1" 403 199691 "-" "curl/7.29.0"

192.168.10.10 - - [13/Sep/2021:18:52:42 +0800] "GET / HTTP/1.1" 200 11 "-" "curl/7.29.0"

REDIRECT

本机端口重定向转发
更改server2的httpd默认监听端口

[root@lanserver1 conf]#grep "^Listen" /etc/httpd/conf/httpd.conf
Listen  9090

#重启服务
[root@lanserver1 conf]#systemctl restart httpd
[root@lanserver1 conf]#ss -ntl
State         Recv-Q        Send-Q               Local Address:Port               Peer Address:Port        Process
LISTEN        0             10                        10.0.0.6:53                      0.0.0.0:*
LISTEN        0             10                       127.0.0.1:53                      0.0.0.0:*
LISTEN        0             128                        0.0.0.0:22                      0.0.0.0:*
LISTEN        0             5                        127.0.0.1:631                     0.0.0.0:*
LISTEN        0             100                      127.0.0.1:25                      0.0.0.0:*
LISTEN        0             128                      127.0.0.1:953                     0.0.0.0:*
LISTEN        0             128                      127.0.0.1:6010                    0.0.0.0:*
LISTEN        0             128                      127.0.0.1:6011                    0.0.0.0:*
LISTEN        0             128                              *:9090                          *:*
LISTEN        0             10                           [::1]:53                         [::]:*

#访问我的80端口，但是本机的httpd服务在9090端口上
[root@lanserver1 conf]#iptables -t nat -A PREROUTING -d 10.0.0.6 -p tcp --dport 80 -j REDIRECT --to-ports 9090
[root@lanserver1 conf]#iptables -vnL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 REDIRECT   tcp  --  *      *       0.0.0.0/0            10.0.0.6             tcp dpt:80 redir ports 9090

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

客户端测试

[root@localhost ~]# curl 192.168.10.5
lanserver1

iptables持久化保存规则

#保存规则到文件
iptables-save /PATH/TO/FILE
#从文件中恢复规则
iptables-restore /PATH/TO/FILE

综合实验

Loading…

知本知至
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
centos中NAT模式下静态IP连接外网
01-10
使用linux虚拟机时，通常会用到yum命令来安装软件，然而这个命令需要连外网下载软件，用maven下载jar包也需要外网。虚拟机在内网可以互相ping通，然而ping不了外网，于是通过试验，终于找到了解决方案： 1.在物理机的cmd命令行中，使用ipconfig命令，查看IP配置，由图可知，物理机的子网IP是192.168.0.0，子网掩码是255.255.255.0，网关是192.168.0.1 C:\Users\huanongying>ipconfig 2.关闭将要配置IP的虚拟机，然后在VMware主面板依次点击编辑->虚拟网络编辑器 3.选择NAT模式，将子网IP和子网掩码设置为
linux iptables详解
06-27
iptables 结构及命令详解,对于新手帮忙很大,文档格式较新,2003可能打不开,换新版即可
CentOS8 设置NAT网络
baidu_41388533的博客
06-12 417
CentOS8 设置NAT网络
Linux系统centos8版本在虚拟机环境下的NAT网络配置基础
2301_77085863的博客
08-22 416
对于使用网络操作系统而言，网络配置是最基础也是最重要的一个步骤。如果没有正确的配置网络，就会导致系统无法连入互联网，这样这个操作系统的功能就会大打折扣。但是，作为刚刚入门的新手小白，没有丝毫基础，就常常会因为网络配置而感到头疼，面对网上繁多的教程也总是会面临完全照搬但最终还是失败的困境，这主要还是因为不能灵活的使用。这里主要介绍两种配置方法。
Centos8网络NAT模式配置
weixin_44613100的博客
08-18 1178
一.首先配置网卡 NAT模式一般就是与VMnet8网卡有关，这个网卡是安装虚拟机的时候自带的。如果你没有VM8，看本文的最后面！ 1.1修改该虚拟网卡的配置 右击VMnet8----》点击 属性----》双击 IPV4 -----》配置IP地址 1.2 配置虚拟网络编辑器 打开虚拟机，点击菜单栏中 编辑，点击 虚拟网络编辑器 二 配置虚拟机内部的配置文件 2.1进入配置文件 此处注意：你的网卡名字可能不叫ifcfg-ens33，改成你自己的 vim /etc/sysconfig/network-s
vmware centos8.0使用NAT配置网络
热门推荐
不懂一休
11-04 1万+
nmcli c reload 命令
Centos实现端口转发：Rinetd部署笔记
07-19
基于Centos7系统部署Rinetd端口转发工具：安装、配置、使用
Centos6.5 做路由器(王三旗亲试成功)
11-02
- 开启NAT（网络地址转换）：`iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE` - 允许内网到外网的出站流量：`iptables -A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT` - ...
CentOS-6.5-DHCP服务器配置实例.doc
06-07
如果客户端无法获取IP地址，应检查`iptables`防火墙是否开启，如果是，需要配置相应的规则允许DHCP通信，或者临时关闭防火墙。 ### 五、总结 配置DHCP服务器对于大规模网络环境非常重要，因为它能自动化IP地址分配...
详解CentOS 6.4下PXE+Kickstart无人值守安装操作系统
09-15
安装环境一般包括虚拟机（如VMware Workstation 10）、CentOS 6.4（最小化安装）和特定的网络配置（如NAT模式）。DHCP/TFTP服务器与HTTP/FTP/NFS服务器通常设在同一台主机上。关闭防火墙（iptables）和SELINUX以避免...
CentOS8网络连接nat模式配置
m0_47116016的博客
09-06 484
CentOS8网络连接nat模式配置 已知： 本机ip为 192.168.15.152 步骤没有一句废话，非常干货。 ------当然这一句是废话，忽略不计(〃'▽'〃) VM8 ipv4如下： 虚拟机网络配置如下 虚拟机设置如下： NAT设置如下： 然后SecureCRT连接Linux，ping百度和Windows主机IP都可以用了 ...
CentOS通过NAT方式联网
m0_53360921的博客
02-20 455
CentOS通过NAT方式联网
linux（centos）使用NAT方式连接网络
TheManOfCoding的博客
01-21 1238
1.最近本人学习hadoop，用到linux，之前能够上网的，可设置静态ip就不能上网，研究了整整两天，整出来了。 2. 使用系统cetnos6.4版本，VM虚拟机 3. 使用NAT方式来上网 4. 点击虚拟机虚拟网络编辑器  5.记下图中红框数据  6.这里只要记住起始地址就行了，  7.进入centos设置ip了，这里说一下ip地址是NAT设置中子网ip同一网段如192.168.59.XXX，...
VM虚拟机Centos8桥接模式（NAT）配置ip
ybobob_的博客
10-07 416
1、打开->编辑->虚拟网络编辑器2、查看红框中的信息得到子网：192.168.136.0子网掩码：255.255.255.0网关：192.168.136.2。
centos使用iptables实现nat端口转发
清雨小竹
06-14 1664
【代码】centos使用iptables实现nat转发。
Linux CentOS 8（iptables的配置与管理）
最新发布
正月十六工作室
10-23 1690
iptables其实不是真正的防火墙，它只是一个命令行工具，位于用户空间，可以把它理解成一个客户端代理。用户通过 iptables 这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火墙，名字叫netfilter，位于内核空间，以实现网络数据包的过滤管理（查看、记录、修改、丢弃、拒绝）。普遍应用于Rhel6、CentOS6及之前。netfilter / iptables 组成Linux平台下的包过滤防火墙。
linux nat
04-27 243
（一）Iptables 的使用语法在使用iptables的NAT功能时，我们必须在每一条规则中使用"-t nat"显示的指明使用nat表。然后使用以下的选项::1. 对规则的操作加入(append) 一个新规则到一个链 (-A)的最后。在链内某个位置插入(insert) 一个新规则(-I)，通常是插在最前面。在链内某个位置替换(replace) 一条规则 (-R)。在链内某个位置删...
Centos在NAT模式下的设置
qq_41876182的博客
08-29 1375
设置虚拟机网卡的工作模式。
CentOS服务器配置SNAT网关
小猿童鞋
10-16 269
在项目中多机集群部署服务，为保障集群环境中的所有服务器能够正常访问外网，并节省公网IP资源。现利用一个公网IP资源来作为集群环境下的统一出口IP，实现在一个公网IP的情况下保证集群中的所有服务器都能正常访问互联网。
centos NAT
10-11
CentOS中的NAT（Network Address Translation）是一种网络转换技术，用于将私有网络内的IP地址转换为公共网络上的IP地址。它常用于连接内部网络与外部网络之间的通信。 要在CentOS上配置NAT，您可以使用以下步骤： 1. 首先，确保您的CentOS系统已安装iptables软件包。如果没有安装，请使用以下命令安装： ``` sudo yum install iptables ``` 2. 启用IP转发，编辑`/etc/sysctl.conf`文件并设置以下参数： ``` net.ipv4.ip_forward = 1 ``` 然后使用以下命令使更改生效： ``` sudo sysctl -p ``` 3. 创建一个iptables规则，将内部网络的IP地址映射到外部网络的IP地址。假设内部网络接口为`eth0`，外部网络接口为`eth1`，内部网络的IP地址段为`192.168.1.0/24`，外部网络的IP地址为`203.0.113.0`。使用以下命令创建规则： ``` sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE ``` 这将允许内部网络上的主机通过NAT访问外部网络。 4. 保存iptables规则以便重启后仍然生效： ``` sudo service iptables save ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值