Linux防火墙规则和SNAT实验和DNAT实验

已于 2023-08-04 10:36:41 修改
阅读量492 收藏
点赞数
分类专栏： 计算机网络 Linux学习 文章标签： linux 网络 服务器
于 2023-03-07 16:32:08 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_52589631/article/details/129380336
版权

目录

Linux防火墙

概述

       Linux防火墙功能是由内核实现的，在2.4版及以后的内核中，包过滤机制是netfilter，管理工具是iptables。
       netfilter是Linux内核中的包过滤防火墙功能体系，称为Linux防火墙的内核态。
       iptables是用来管理防火强墙的命令工具，为防火墙体系提供过滤规则，决定如何过滤或处理到达防火墙主机的数据包，称为Linux防火墙的用户态。

iptables的规则表、链结构

规则链

       在iptables中有5中默认的规则链，其作用在于对数据包进行过滤和处理，根据处理的时机不同，各种规则被组织在不同的链中。

INPUT：处理入站数据包
OUTPUT：处理出站数据包
FORWARD：处理转发数据包
POSTROUTING：在进行路由选择后处理数据包
PREROUTING：在进行路由选择前处理数据包

规则表

       在iptables中有4中默认的规则表，它们具有某一类相似用途的防火墙规则，按照不同处理时机区分不同的规则链以后，被归置到不同的表中，规则表是规则链的集合。

raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据中的源、目标IP地址或端口
fiter表：确定是否过滤该数据包

数据包的过滤匹配流程

在这里插入图片描述
       在一个主机传递数据到另一个主机时，首先会根据规则表的优先级，在路由选择前进行数据包的跟踪，打上标记，然后查看路由表进行路由选择，确定是要到达本机的数据包还是要进行路由转发。
       如果是到达本机的数据，它会进入经过mangle表的INPUT链继续打上标记，然后根据filter表中的INPUT链中的规则进行数据过滤，之后再经过路由选择，根据规则表的优先级，进行数据发送，然后POSTROUTING链将数据传送到对方主机上。
       如果是进行路由转发的数据，则会经过FORWARD链进行数据转发。

iptables语法格式

语法格式如图
在这里插入图片描述
常见数据包的处理方式
在这里插入图片描述

设置规则内容

-A：在链尾追加新的规则
-I：在指定位置插入一条新的规则
-R：修改、替换指定位置或内容的规则
-P：设置指定链的默认策略

查卡规则内容

-L：列表查看各条规则信息
–line-numbers：查看规则信息时显示规则的行号
-n：以数字形式显示IP地址、端口信息
-v：显示详细信息

清除规则

-D：清除指定位置或内容的规则
-F：清空规则链的所有规则

自定义规则

-N：新建一条规则链
-X：删除自定义的规则链

例1：
在filter表的INPUT链增加一条规则，只要是TCP协议的数据包都接收

[root@localhost ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT

在INPUT链插入一条规则，只要是udp协议的数据包都接收

[root@localhost ~]# iptables -I INPUT -p udp -j ACCEPT

在INPUT链插入一条规则，只要是icmp协议的数据包都接收,并且将该规则设置为第二条

[root@localhost ~]# iptables -I INPUT 2 -p icmp -j ACCEPT

将默认规则设为DROP

[root@localhost ~]# iptables -P INPUT DROP

查看规则链

[root@localhost ~]# iptables -L INPUT --line-numbers

删除规则链
删除规则链

[root@localhost ~]# iptables -D INPUT 2

新建规则链
在filter表中新建shengxia链

[root@localhost ~]# iptables -t filter -N shengxia
[root@localhost ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination                 

Chain shengxia (0 references)
target     prot opt source               destination

给新建的规则链设置规则
给shengxia这个链设置一个规则，只要是icmp数据包都drop掉

[root@localhost ~]# iptables -t filter -A shengxia -p icmp -j DROP
[root@localhost ~]# iptables -L -t filter
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination                 

Chain shengxia (0 references)
target     prot opt source               destination         
DROP       icmp --  anywhere             anywhere

使用新建规则链
将进入filter表的icmp数据包都转到shengxia这个链进行处理

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -j shengxia
[root@localhost ~]# iptables -L -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    4   240 shengxia   icmp --  any    any     anywhere             anywhere            
  295 29207 ACCEPT     udp  --  any    any     anywhere             anywhere            
 3283  214K ACCEPT     tcp  --  any    any     anywhere             anywhere            

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 25 packets, 2204 bytes)
 pkts bytes target     prot opt in     out     source               destination                  

Chain shengxia (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    4   240 DROP       icmp --  any    any     anywhere             anywhere

记录日志
打开日志服务，记录日志位置

[root@@localhost ~]# vim /etc/rsyslog.conf

在这里插入图片描述
添加日志规则

[root@localhost ~]# iptables -I INPUT -p icmp -j LOG --log-prefix "shengxia" --log-level 4
[root@localhost ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
LOG        icmp --  anywhere             anywhere             LOG level warning prefix "shengxia"

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

另一台主机ping，即可看到日志

[root@localhost ~]# tail -f /var/log/sctest.log 
Aug  3 00:39:16 elk-node1 kernel: shengxiaIN=ens35 OUT= MAC=00:0c:29:04:07:e4:00:0c:29:13:a8:73:08:00 SRC=192.168.111.160 DST=192.168.111.254 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=42723 DF PROTO=ICMP TYPE=8 CODE=0 ID=15597 SEQ=1 
Aug  3 00:39:17 elk-node1 kernel: shengxiaIN=ens35 OUT= MAC=00:0c:29:04:07:e4:00:0c:29:13:a8:73:08:00 SRC=192.168.111.160 DST=192.168.111.254 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=43194 DF PROTO=ICMP TYPE=8 CODE=0 ID=15597 SEQ=2 
Aug  3 00:39:18 elk-node1 kernel: shengxiaIN=ens35 OUT= MAC=00:0c:29:04:07:e4:00:0c:29:13:a8:73:08:00 SRC=192.168.111.160 DST=192.168.111.254 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=43810 DF PROTO=ICMP TYPE=8 CODE=0 ID=15597 SEQ=3

例2
编写
脚本实现以下功能

允许192.168.40.0/24的网段访问本机的web、ftp、ssh、mysql
允许访问本机的dns服务–53udp
禁止其它电脑ping主机，主机可以ping其它电脑
默认的INPUT链规则设置为DROP
禁止192.168.40.90/24主机访问本机的2233端口

#!/bin/bash
#允许192.168.40.0/24的网段访问本机的web、ftp、ssh、mysql
iptables -A INPUT -s 192.168.40.0/24 -p tcp -m multiport --dport 80,21,22,3306 -j ACCEPT
#允许访问本机的dns服务--53 udp
iptables -I INPUT -p udp --dport 53 -j ACCEPT
#禁止其它电脑ping主机(别的主机发送请求报文)，主机可以ping其它电脑(接收响应报文)
iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP
#默认的INPUT链规则设置为DROP
iptables -P INPUT DROP
#禁止192.168.40.90/24主机访问本机的2233端口
iptables -I INPUT -s 192.168.40.90/24 -p tcp --dport 2233 -j DROP
#允许192.168.1.0网段访问本机23端口
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 23
#允许192.168.1.12-192.168.1.200访问本机8080端口
iptables -A INPUT -s iprange --src-range 192.168.1.12-192.168.1.200 -p tcp --dport 8080 -j ACCEPT
#允许192.168.1.20访问3306端口
iptables -A INPUT -s 192.168.1.20 -p tcp --dport 3306 -j ACCEPT
#允许访问本机的80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

SNAT实验

先放两张图看一下使用SNAT和没有使用SNAT的区别
在这里插入图片描述
在这里插入图片描述
       从图中明显看出，如果没有使用SNAT策略，局域网的主机是无法跟外网进行通信的，所以这就是SNAT的好处，将源IP地址进行转化，使得局域网主机共享单个公网IP接入Internet。

SNAT实验网络拓扑图

       在进行一个实验时，首先要规划好网络拓扑图，保证实验的顺利进行。
在这里插入图片描述

实验环境和步骤

1.准备好两台虚拟机，一台做PC机，一台做Linux网关服务器
(这里准备两台虚拟机，Centos7-firewalld做网关服务器)
在这里插入图片描述

2.给虚拟机添加网卡，配置好IP地址、网关、域名服务器
       根据网络拓扑图，先给Linux网关服务器进行配置，整个实验在桥接模式下进行，所以如果是校园网联网的情况下可能实验不成功。

先进入IP配置所在目录

cd /etc/sysconfig/network-scripts/
将ifcfg-ens33文件复制一份，我这里新加的另一块网卡名时ifcfg-ens35，所以执行下面命令
cp ifcfg-ens33 ifcfg-ens35

给Linux网关服务器配置IP地址、网关、域名

ifcfg-ens33网卡

BOOTPROTO="none"
NAME="ens33"
DEVICE="ens33"
ONBOOT="yes"
IPADDR=192.168.1.147
PREFIX="24"
GATEWAY=192.168.1.1
DNS1=114.114.114.114

在这里插入图片描述

ifcfg-ens35网卡

BOOTPROTO="none"
NAME="35"
DEVICE="ens35"
ONBOOT="yes"
IPADDR=192.168.50.254
PREFIX="24"

在这里插入图片描述

给PC机配置IP地址、网关、域名

BOOTPROTO="none"
DEFROUTE="yes"
NAME="ens33"
DEVICE="ens33"
ONBOOT="yes"
IPADDR=192.168.50.1
PREFIX="24"
GATEWAY=192.168.50.254
DNS1=114.114.114.114

在这里插入图片描述

3.网关服务器开启路由转发功能

3种方法
1./sbin/sysctl -w net.ipv4.ip_forward=1
2.echo 1 > /proc/sys/net/ipv4/ip_forward
3.修改/etc/sysctl.conf，设置net.ipv4.ip_forward=1

4.关闭防火墙和selinux功能

关闭防火墙
service firewalld stop --> 临时关闭
systemctl disable firewalld -->永久关闭
关闭selinux功能
setenforce 0

5.网关服务添加SNAT策略

#使用脚本实现，方便后续修改
#清除防火墙规则
#!/bin/bash
iptables -F
iptables -t nat -F
#添加SNAT策略
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o ens33 -j SNAT --to-source 192.168.1.147   
#开启路由功能
echo 1 > /proc/sys/net/ipv4/ipv4_forward

6.测试验证
       用PC机ping百度，如果能ping通，则说明实验成功
在这里插入图片描述

DNAT实验网络拓扑图

在这里插入图片描述
        步骤和SNAT实验差不多，需要注意的是用三台虚拟机，一台做发布内网的web服务器，一台做网关服务器，一台做客户机。
        其中，发布内网的web服务器使用仅主机模式，方便显示效果，网关服务器中的一个网卡用桥接，一个网卡用仅主机

        当Windows客户端直接访问web服务器时，显示如下，注意IP地址为192.168.111.160:8080

在这里插入图片描述

        添加DNAT策略访问内网服务器

#!/bin/bash
echo 1 >/proc/sys/net/ipv4/ip_forward
service firewalld stop
iptables -F
iptables -t nat -F
iptables -t nat -A PREROUTING -d 192.168.2.96 -i ens33 -p tcp --dport 8080 -j DNAT --to-destination 192.168.111.160

        浏览器直接访问 192.168.2.96:8080就可以实现DNAT策略访问web服务器啦！！！
在这里插入图片描述
也可以将端口转换一下，比如默认端口80 --->8080

iptables -t nat -A PREROUTING -d 192.168.2.96 -i ens33 -p tcp --dport 80 -j DNAT --to-destination 192.168.111.160:8080

在这里插入图片描述

生夏夏夏
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux——SNAT与DNAT的应用
cxin1225的博客
05-23 648
DNAT 的全称为Destination Network Address Translation目的地址转换，常用于防火墙中DNAT：目的地址转换的作用是将一组本地内部的地址映射到一组全球地址。通常来说，合法地址的数量比起本地内部的地址数量来要少得多。私网地址只能作为源地址来访问公网IP，而无法作为目标地址被其他主机访问所以DNAT将私网中web服务器映射到公网IP，使其公网IP作为目标地址被公网中主机进行访问DNAT 应用环境：在Internet中发布位于局域网内的服务器。
网络安全实验之《防火墙》实验报告
7xun's space
04-17 9226
SNAT：开通内网机器的外网访问权限，是指在数据包从网卡发送出去的时候，把数据包中的源地址部分替换为指定的IP，这样，接收方就认为数据包的来源是被替换的那个IP的主机，MASQUERADE是用发送数据的网卡上的IP来替换源IP，因此，对于那些IP不固定的场合，比如拨号网络或者通过dhcp分配IP的情况下，就得用MASQUERADE。解决方法：此时我的主机连接的是wifi，我把wifi关掉，然后主机连接手机的移动热点，再重启ubuntu，输入ifconfig，ens33处便能正常显示ip了。
Linux 防火墙实验
cuisidong1997的博客
05-14 566
firewall-cmd --permanent --remove-source=172.25.254.0/24 --zone=block ##删除自定域中的数据来源。firewall-cmd --permanent --remove-interface=ens224 --zone=public ##删除指定域的网络接口。firewall-cmd --permanent --add-interface=ens224 --zone=block ##添加指定域的网络接口。
Linux防火墙之SNAT与DNAT
夏颜的博客
05-11 522
文章目录一.SNAT1.1SNAT工作原理1.2SNAT转换流程二.DNAT2.1DNAT工作原理2.2DNAT转换流程 引言： iptables有四个表，其中比较重要的有filter表，与nat表，本文着重讲解nat表的地址转换 一.SNAT 1.1SNAT工作原理 SNAT应用环境:局域网主机共享单个公网IP地址接入Internet (私有 IP不能在Internet中正常路由) SNAT原理:源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射 SNAT转换前提条件: 1.局域网各主机已正
防火墙配置实验
m0_64112419的博客
12-09 1768
iptables -I INPUT -p ICMP –icmp-type 0 -d 192.168.110.0/24 ACCEPT：这条规则是用来配置防火墙，指示允许从目标地址为192.168.110.0/24的网络发送过来的ICMP回显应答（类型为0）的数据包进入系统。防火墙的规则都是双向的，而且ping使用的是ICMP报文，他的ICMP type 为8，而它的响应ICMP报文的type为0，我们要实现以上功能，只需要让ICMP type 8 报文进不来，但出得去；动作可以是允许通过、阻止或修改数据包。
iptables之SNAT和DNAT
01-08
iptables、SNAT和DNAT实验
运用Linux系统打造NAT防火墙的技术研究与实现
04-16
阐述了在Linux系统下打造NAT防火墙的设计方案和策略，并且给出了基于NAT的防火墙的具体设置步骤和所实现的检测结果。在对NAT技术的安全性进行了具体分析的基础之上，结合设计中出现的问题，进一步探讨了需要改进的...
10.6： iptables防火墙 、 filter表控制 、 扩展匹配 、 nat表典型应用 、 总结和答疑.docx
03-05
nat 表典型应用包括 SNAT（源网络地址转换）、DNAT（目的网络地址转换）、MASQUERADE（地址伪装）等。nat 表典型应用可以实现对网络流量的控制和转换。 五、总结和答疑 通过本节课程的学习，学生将掌握 iptables ...
构筑Linux防火墙之IPtables的概念与用法
05-14
实际的操作分为以下几类： <br>◆ DNAT <br>◆ SNAT <br>◆ MASQUERADE <br>DNAT操作主要用在这样一种情况，你有一个合法的IP地址，要把对防火墙的访问 重定向到其他的机子上（比如DMZ）。也就是说，...
洞悉linux下的Netfilter&iptables;
04-19
详细介绍了linux下的防火墙设计和原理，基于应用层的iptables和内核的Netfilter。重点讲了SNAT\DNAT\状态防火墙等，还有具体实例讲解
《网络安全》实验指导书 Linux系统iptables防火墙
03-24
《网络安全》实验指导书 Linux系统iptables防火墙
Iptables之SNA与DNAT（三）《博雅运维Linux全套笔记》
06-01
Iptables之SNA与DNAT（三）《博雅运维Linux全套笔记》，如何配置snat，dnat，等等
用Red Hat Linux9.0实现双出口路由.pdf
09-07
4. 清理并设置iptables规则，包括DNAT和SNAT规则。 5. 配置路由规则，包括静态路由和策略路由。 通过以上步骤，我们可以有效地在Red Hat Linux 9.0中实现双出口路由，从而让网络流量可以根据需求选择合适的出口，...
LINUX下的网络地址变换(NAT).pdf
09-06
基本的NAT转换包括源NAT（SNAT）和目的NAT（DNAT）。例如，若要将所有出站流量的源IP地址转换为特定IP，可以使用SNAT规则： ``` [root@nsl ~]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192....
洞悉linux下的Netfilter&iptables;整理
08-27
洞悉linux下的Netfilter&iptables;...内核中的ip_tables小觑、内核中的rule，match和target、包过滤子系统iptable_filter、如何理解连接跟踪机制、状态防火墙、DNAT、SNAT、iptables命令行工具源码解析
Linux防火墙实现SNAT与DNAT
悦分享
07-21 794
vi /etc/sysctl.conf 将 net.ipv4.ip_forward=0 修改成 net.ipv4.ip_forward=1。编辑后使用命令让配置马上生效 sysctl -p。开启目标服务器/中转服务器端口**（本例仅限于http服务） python -m SimpleHTTPServer 1024。查询端口**状态 netstat -tupln。
【综合实验】之 SNAT 和 DNAT
FYR1018的博客
05-25 361
1 关闭三台虚拟机防火墙2 配置网关服务器4 配置内网192.168.80.205 配置外网12.0.0.2006 测试三台虚拟机是否可以正常访问7 配置网关服务器的 iptables 规则8 客户端12.0.0.254:8080测试9 分离解析配置---网关服务器
网安实验6-Linux防火墙访问控制
YkingH的博客
03-31 714
网安实验6，实现Linux防火墙的访问控制，河大同学看过来，详细教程在这里~
iptables防火墙之SNAT与DNAT
weixin_45305723的博客
05-01 2244
1、SNAT策略概述 SNAT策略的典型应用环境 局域网主机共享单个公网IP地址接入Internet SNAT策略的原理 源地址转换，Source Network Address Translation 修改数据包的源地址 2、SNAT工作原理 数据包从内网发送到公网时，SNAT会把数据包的源IP由私网IP转换成公网IP 当响应的数据包从公网发送到内网时，会把数据包的目的IP由公网IP转换为私网IP 3、SNAT转换前提条件 局域网各主机已正确设置IP地址、子网掩码、默认网关地址 Linu
iptables的DNAT和SNAT
最新发布
05-24
iptables是一个用于Linux操作系统的防火墙软件，DNAT和SNAT是其中两个重要的功能： DNAT（Destination NAT）用于将目标地址或端口转换为另一个地址或端口，通常用于将公网IP映射到内网IP，从而实现内网服务器对外...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值