防火墙——SNAT和DNAT策略的原理及应用、防火墙规则的备份和还原

最新推荐文章于 2024-05-22 17:12:56 发布
最新推荐文章于 2024-05-22 17:12:56 发布
阅读量2k 收藏 6
点赞数 3
分类专栏： 防火墙 文章标签： iptables 局域网 新星计划
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47855463/article/details/117249023
版权

防火墙——SNAT和DNAT策略的原理及应用、防火墙规则的备份和还原

一、SNAT策略概述

SNAT（Source Network Address Translation，源地址转换）是Linux防火墙的一种地址转换操作，也是iptables命令中的一种数据包控制类型，其作用是根据特定的条件修改数据包的源IP地址。

1、SNAT应用环境

  • 局域网主机共享单个公网IP地址的Internet（私有IP不能在Internet中正常路由）

2、SNAT原理

  • 修改数据包源地址

3、SNAT转换的前提条件

  • 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
  • Linux网关开启IP路由转发

二、SNAT策略的应用

1、临时打开

echo 1 > /proc/sys/net/ ipv4/ip_forward
或
sysctl -w net. ipv4.ip_forward=1

2、永久打开

vim /etc/sysctl.conf
net.ipv4.ip_forward = 1      #将此行写入配置文件

sysctl -p           #读取修改后的配置

在这里插入图片描述

3、SNAT转换1：固定的公网IP地址

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
                                     内网IP       出站 外网网卡                      外网IP或地址池

4、SNAT转换2：非固定的公网IP地址（共享动态IP地址）

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j MASQUERADE

扩展：一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网

三、DNAT策略概述

1、DNAT应用环境

  • 再Internet中发布位于局域网内的服务器

2、DNAT原理

  • 修改数据包的目标地址

3、DNAT前提条件

  • 局域网的Web服务器能够访问Internet
  • 网关的外网IP地址有正确的DNS解析记录
  • Linux网关支持IP路由转发
vim /etc/sysctl.conf
net.ipv4.ip_forward = 1

sysctl -p

在这里插入图片描述

四、DNAT策略的应用

1、编写DNAT转换规则

在这里插入图片描述

2、DNAT转换1：发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11
                             入站 外网网卡  外网IP											   内网服务器IP
 
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20

3、DNAT转换2：发布时修改目标端口

#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22

#在外网环境中使用SSH测试
ssh -p 250 root@12.0.0.1

yum -y install net-tools 		#若没有 ifconfig 命令可提前使用 yum 进行安装
ifconfig ens33

注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回。

4、扩展

  • 主机型防火墙：主要使用 INPUT、OUTPUT 链，设置规则时一般要详细的指定到端口
  • 网络型防火墙：主要使用 FORWARD 链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可

五、防火墙规则的备份和还原

1、导出（备份）所有表的规则

iptables-save > /opt/ipt.txt

2、导入（还原）规则

iptables-restore > /opt/ipt.txt

3、iptables自动还原

将iptables规则文件保存在/etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则

iptables-save > /etc/ sysconfig/ iptables
systemctl stop iptables .      #停止iptables服务会清空掉所有表的规则
systemctl start iptables       #启动iptables服务会自动还原/etc/ sysconfig/ iptables中的规则

4、示例详解

在这里插入图片描述

tcpipicmparprarp和tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
-i ens33只抓经过接口ens33的包
-t不显示时间戳
-s 0抓取数据包时默认抓取长度为68字节。加上-s0后可以抓到完整的数据包
-c100只抓取100个数据包
dst port ! 22不抓取目标端口是22的数据包
src net 192.168.1.0/24数据包的源网络地址为192.168.1.0/24
-w ./target.cap保存成cap文件， 方便用ethereal (即wireshark)分析
王大雏
关注
  • 3
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 10
    评论
专栏目录
Linux防火墙配置SNAT教程（1）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
linux防火墙——DNAT配置
m0_65544268的博客
07-12 558
用于设置目标地址转换（Destination NAT）规则的命令。DNAT 是一种网络地址转换技术，它允许将一个网络数据包的目标 IP 地址更改为另一个 IP 地址。简单来说，就是修改数据包中的目的IP地址。
SNAT和DNAT策略
最新发布
2402_83805984的博客
05-22 488
在Internet中发布位于局域网内的服务器;DNAT原理：修改数据包的目的地址。1.局域网的服务器能够访问Internet;2.网关的外网地址有正确的DNS解析记录;3.Linux网关开启IP路由转发;sysctl -p #加载DNAT转换1：发布内网的Web服务#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.10或入站 外网网卡 外网IP 内网服务器IP。
防火墙规则
09-21
windows防火墙规则，非常全，适合对安全有高级需求的用户。
SNAT与DNAT的基本概念与配置
F2001523的博客
11-22 1546
文章目录一、SNAT策略概述二、DNAT概述三、SNAT和DNAT的配置 一、SNAT策略概述 原理：源地址转换，修改数据包中的源IP地址 作用：可以实现局域网共享上网 配置的表及链：nat表中的POSTROUTING 企业内部的主机A想访问互联网上的主机C，首先将请求数据包（源：ipA，目标：ipC）发送到防火墙所在主机B，B收到后将数据包源地址改为本机公网 网卡的ip（源：ipA，目标：ipB），然后经互联网发送给C；C收到后将回应包（源：ipC，目标：ipB）转发给C的路由器，经互联网将回应包转发给B
外围防火墙规则+内部防火墙规则
软体疯子专栏
03-28 2492
外围防火墙规则通常情况下，您的外围防火墙需要以默认的形式或者通过配置来实现下列规则：• 拒绝所有通信，除非显式允许的通信。 • 阻止声明具有内部或者外围网络源地址的外来数据包。  • 阻止声明具有外部源 IP 地址的外出数据包（通信应该只源自堡垒主机）。 • 允许从 DNS 解析程序到 Internet 上的DNS 服务器的基于 UDP 的 DNS 查询和应答。 • 允许从 Interne
iptables
weixin_34419321的博客
05-19 179
关闭firewalld，启动iptables服务1）关闭firewalld服务器1.[root@svr5 ~]# systemctl stop firewalld.service 2.[root@svr5 ~]# systemctl disable firewalld.service2）安装iptables-services并启动服务1.[root@svr5 ~]# yum -y install ...
iptables之SNAT和DNAT
01-08
iptables、SNAT和DNAT实验
Linux防火墙配置SNAT教程（2）
09-15
主要为大家详细介绍了Linux防火墙配置SNAT教程第二篇，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
使用SNAT、DNAT策略实现网关应用
09-08
打开密码 www.clvn.com.cn
关于防火墙的规则
weixin_30689307的博客
03-13 1067
防火墙入站规则：别人电脑访问自己电脑的规则； 防火墙出站规则：自己电脑访问别人电脑的规则。 简单的说 出站就是你访问外网 入站就是外网访问你 用户可以创建入站和出站规则，从而阻挡或者允许特定程序或者端口进行连接; 可以使用预先设置的规则，也可以创建自定义规则，“新建规则向导”可以帮用户逐步完成创建规则的步骤；用户可以将规则应用于一组程序、端口或者服务，也可 以将规则应用于所有程序或者某个特定程...
防火墙及防火墙规则
weixin_56422027的博客
06-15 623
四表五链 [root@localhost ~]# iptables -t filter -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT icmp -- ...
iptables防火墙 （SNAT、DNAT）
Y_S_J_112的博客
09-25 1291
局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）局域网共享上网未作SNAT转换时的情况进行SNAT转换后的情况。
防火墙规则设置
爱上编程已很久
04-02 1321
查看已有规则 iptables -L -n 下面我只打开22端口的命令 iptables -A INPUT -p tcp --dport 22 -j ACCEPT --tcp入端口( -p是指协议) iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT --tcp出端口 service iptables save --保存规则 路径在...
防火墙中的SNAT 与DNAT
2301_81307988的博客
03-13 698
总结起来，这条规则的效果是：所有发往公网IP地址12.0.0.254且目标端口为80的TCP数据包，在到达本地主机并准备转发到内部网络之前，其目标IP地址都会被转换成192.168.68.4。随后，在虚拟机上面的外网服务器去curl一下12.0.0.1，curl12.0.0.1出现的是内网服务器的网页内容，表明去连外网网关，就等于访问内网服务器。目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映射。
防火墙的设置规则
weixin_45967826的博客
04-10 1027
1、更改防火墙的所有文件规则 在字面意思上，好像防火墙的文件修改就是程序员几行代码，几个注释的事情，但是如果我们真的操作过的话，就会发现其实不是这样的，这之中是有不少需要注意到的地方。如果防火墙管理员因为突发情况或者一些其他形式的业务中断做出更改抵消了之前的协议更改，会导致宕机。这是一个相当高发的状况。 防火墙管理产品的中央控制台能全面可视所有的防火墙规则基础，因此团队的所有成员都必须达成共识，观...
防火墙和访问控制
little_baixb的博客
12-15 4159
文章目录一、IPtables1、IPtables简介2、四表五列3、安装操作IPtables3.1、IPtables的配置3.2、IPtables的语句格式3.2.1、协议匹配3.2.2、端口匹配3.2.3、修改规则及禁止ping3.3、IPtables拓展操作4、IPtables网络地址转换 NAT模式5、企业级防火墙配置二、Firewalld1、Firewalld简介2、Firewalld相关命令3、Firewalld配置使用三、TCPwrapper访问控制工具1、什么是TCPwrapper2、TCPw
ensp防火墙snat和dnat配置
05-20
SNAT（源地址转换）和DNAT（目的地址转换）是防火墙中常见的功能。它们用于在防火墙上对网络流量进行地址转换，以实现特定的网络需求。 下面是一些简单的SNAT和DNAT配置示例： SNAT配置： 1. 将内部IP地址192.168.1.100转换为外部IP地址202.101.1.100： ``` iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 202.101.1.100 ``` 2. 将所有内部IP地址转换为外部IP地址： ``` iptables -t nat -A POSTROUTING -j SNAT --to-source 202.101.1.100 ``` DNAT配置： 1. 将外部IP地址202.101.1.100的流量转发到内部IP地址192.168.1.100： ``` iptables -t nat -A PREROUTING -d 202.101.1.100 -j DNAT --to-destination 192.168.1.100 ``` 2. 将外部IP地址202.101.1.100的80端口流量转发到内部IP地址192.168.1.100的8080端口： ``` iptables -t nat -A PREROUTING -p tcp -d 202.101.1.100 --dport 80 -j DNAT --to-destination 192.168.1.100:8080 ``` 这些是基本的SNAT和DNAT配置示例，具体配置取决于你的网络需求和防火墙规则。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 10
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值