内网环境通过iptables实现数据包转发连接互联网

内网环境通过iptables实现数据包转发连接互联网

实验环境：

Linux1双网卡：
	ens33：192.168.0.100/24 可以连接互联网
	ens37：10.10.10.3/24  不能连接互联网
Linux2单网卡：
	ens33:10.10.10.10/24  不能连接互联网

目的：使用linux2 通过linux1。共享上网(snat原地址转换)实现共享上网

#在Linux1上启用IPV4转发
#临时启用
echo 1 > /proc/sys/net/ipv4/ip_forward
#或者：sysctl -w net.ipv4.ip_forward=0
#永久启用
echo "net.ipv4.ip_forward = 1" >>/etc/sysctl.conf
sysctl -p /etc/sysctl.conf

#设置默认网关
ip route add default via 10.10.10.3 
# 测试：ping www.baidu.com 结果通。
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
# 清空NAT表
iptables -t nat -F

# 方法1：适合于有固定外网地址的：
iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o ens33 -j SNAT --to-source 192.168.0.100
# 方法2：适合变化外网地址（拨号上网）：
iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -j MASQUERADE    ##伪装
# 保存规则
iptables-save

#路由转发
iptables -A FORWARD -i ens37 -o ens33 -j ACCEPT
iptables -A FORWARD -i ens33 -o ens37 -m state --state ESTABLISHED,RELATED  -j ACCEPT

DNAT（目标地址转换）

# netfilter添加DSAT转换规则：（代理linux2的80端口到linux1上面）
iptables -t nat -A PREROUTING -d 10.10.10.10  -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.100:80
# 3、同样开启内核转发
# 修改内核转发：
# 编辑/etc/sysctl.conf修改内容为net.ipv4.ip_forward = 1，然后执行sysctl -p使修改生效。
# 临时改变某个指定参数的值，如
sysctl -w net.ipv4.ip_forward=0
# 测试：ping www.baidu.com 结果通。
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
# 清空NAT表
iptables -t nat -F

[root@vms-ctos7-it-route131 ~]# iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            192.168.183.131      tcp dpt:80 to:10.0.0.100:80

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  10.0.0.0/24          0.0.0.0/0
[root@vms-ctos7-it-route131 ~]#
[root@vms-ctos7-it-route131 ~]#  cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="dhcp"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="8ff57dc6-0440-456a-b52f-744e2f0f808d"
DEVICE="ens33"
ONBOOT="yes"

[root@vms-ctos7-it-route131 ~]# cat /etc/sysconfig/network-scripts/ifcfg-ens37
TYPE="Ethernet"
BOOTPROTO="static"
DEFROUTE="no"
NAME="ens37"
DEVICE="ens37"
ONBOOT="yes"
IPADDR=10.0.0.1
NETMASK=255.255.255.0

# 模拟真实机器1
[root@vms-ctos7-it-real1 ~]# cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPE="Ethernet"
BOOTPROTO="static"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens33"
UUID="8ff57dc6-0440-456a-b52f-744e2f0f808d"
DEVICE="ens33"
ONBOOT="yes"
IPADDR=10.0.0.100
NETMASK=255.255.255.0
DNS1=8.8.8.8
[root@vms-ctos7-it-real1 ~]# ip route
default via 10.0.0.1 dev ens33
10.0.0.0/