企业软件防火墙iptables

最新推荐文章于 2022-10-23 19:09:29 发布
最新推荐文章于 2022-10-23 19:09:29 发布
阅读量213 收藏
点赞数
文章标签： 操作系统 运维 网络
原文链接：http://www.cnblogs.com/mustark/p/10413982.html
版权

企业中安全优化配置原则

推荐：尽可能不给内部服务器配置外网ip ,可以通过代理转发或者通过防火墙映射.并发不是特别大情况有外网ip,可以开启防火墙服务.

使用场景：

大并发的情况，不能开iptables,影响性能，利用硬件防火墙提升架构安全

小并发的情况，选择软件防火墙：iptables（centos 6）、firewalld（centos 7）

firewalld 是最新的软件防火墙centos 7在使用

 生产中iptables的实际应用

主要应用方向

1、主机防火墙（filter表的INPUT链）。

2、局域网共享上网(nat表的POSTROUTING链)。半个路由器，NAT功能。

3、端口及IP映射(nat表的PREROUTING链)，硬防的NAT功能。

4、IP一对一映射。

其他说明：

①iptables是基于内核的防火墙，功能非常强大，基于数据包的过滤！特别是可以在一台非常低的硬件配置下跑的非常好。

　　注：iptables主要工作在OSI七层的2.3.4层。七层的控制可以使用squid代理+iptables。

②iptabes：生产中根据具体情况，一般，内网关闭，外网打开。大并发的情况不能开iptables，影响性能，iptables是要消耗CPU的，所以大并发的情况下，我们使用硬件防火墙的各方面做的很仔细。selinux：生产中也是关闭的。可以做ids的入侵检测。

③实际生产中尽可能不给服务器配置外网IP。可以通过代理转发。比如，nagios就不需要外网。

④并发不是很大的情况下，再外网的IP环境，开防火墙。

⑤第一次直接默认规则生成配置文件，以后就在配置文件中进行修改（编辑添加删除）。

⑥封掉IP：根据IP地址和网络连接数进行封杀。（定时任务，定时封掉，判断，存在就不再进行二次封杀）

企业常用案例功能小结：

1）linux主机防火墙，单机作为防火墙（表filter）。

2）局域网共享上网（表nat postrouting）。

3）外部地址映射为内部地址和端口（表nat prerouting）

 

iptables防火墙简介

Netfilter/Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，

可以对流入和流出服务器的数据包进行很精细的控制.特别是它可以在一台非常低的硬件配置服务器上跑的非常好

（赛扬500HZ cpu 64M 内存的惲况下部署网关防火墙，这说明硬件要求低），提供近400人的上网服务丝毫不逊色企业级专业路由器防火墙。

 

iptables 表和链

四个表：

表（tables）

链（chains）

Filter

这是默认表，实现防火墙数据过滤功能。

INPUT

对于指定到本地套接字的包，即到达本地防火墙服务器的数据包。

FORWARD

路由穿过的数据包，即经过本地防火墙服务器的数据包。

OUTPUT

本地创建的数据包

NAT

当遇到新创建的数据包连接时将参考这个表

FREROUTING

一进来就对数据包进行改变

OUTPUT

本地创建的数据包在路由前进行改变

POSTROUTING

在数据包即将出去时改变数据包信息

Mangle

这个表专门用于改变数据包

INPUT

进入到设备本身的包

FORWARD

对路由后的数据包信息进行修改

FREROUTING

在路由之前更改传入的包

OUTPUT

本地创建的数据包在路由之前改变

POSTROUTING

在数据包即将离开时更改数据包信息

raw

此表用处较少，可以忽略不计。

This  table is used mainly for configuring exemptions from connection tracking in combination with the  NOTRACK  target.

PREROUTING

for packets arriving via any network interface

OUTPUT

for packets  generated by local processes

五个链

表（tables）

链（chains）

INPUT

FORWARD

OUTPUT

PREROUTING

POSTROUTING

Filter

√

√

√

×

×

NAT

×

×

√

√

√

Managle

√

√

√

√

√

raw

×

×

√

√

×

说明：√ 表示有，× 表示无。

 

filter表的详细介绍

filter表

主要和主机自身相关，真正负责主机防火墙功能的（过滤流入流出主机的数据包）

filter表是iptables默认使用的表，这个表定义了三个链（chains）

企业工作场景:主机防火墙

INPUT

负责过滤所有目标是本机地址的数据包

通俗来说：就是过滤进入主机的数据包

FORWARD

负责转发流经主机的数据包。起到转发的作用，和NAT关系很大。

LVS NAT 模式，net.ipv4.ip_forward=0

OUTPUT

处理所有源地址是本机地址的数据包

通俗的讲：就是处理从主机发出的数据包

   对于filter表的控制是我们实现本机防火墙功能的重要手段，特别是INPUT链的控制。

NAT表信息详细介绍

NAT表

负责网络地址转换的，即来源与目的的IP地址和port的转换。

应用：和主机本身无关，一般用于局域网共享上网或者特殊的端口转换相关.

工作场景：

1、用于企业路由(zebra)或网关(iptables),共享上网(POSTROUTING)

2、做内部外部IP地址一对一映射(dmz),硬件防火墙映射IP到内部服务器，FTP服务(PREROUTING)

3、WEB,单个端口的映射，直接映射80端口(PREROUTING)

这个表定义了3个链，nat功能相当于网络的acl控制。和网络交换机acl类似。

OUTPUT

和主机放出去的数据包有关，改变主机发出数据包的目的地址。

PREROUTING

在数据包到达防火墙时，进行路由判断之前执行的规则，作用是改变数据包的目的地址、目的端口等

就是收信时，根据规则重写收件人的地址

例如：把公网IP： xxx.xxx.xxx.xxx 映射到局域网的 x.x.x.x 服务器

如果是web服务，可以把80转换为局域网的服务器9000端口上。

POSTROUTING

在数据包离开防火墙时进行路由判断之后执行的规则，作用改变数据包的源地址，源端口等。

写好收件人的地址，要让家人回信时能够有地址可回。

例如。默认笔记本和虚拟机都是局域网地址，在出网的时候被路由器将源地址改为公网地址。

生产应用：局域网共享上网。

iptables工作流程小结

1、防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。

2、如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。

3、如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。

4、防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。

iptables参数说明

参数

参数说明

显示相关参数

-n/--numeric

以数字的方式显示地址或端口信息

-L/ --list

列出一个链或所有链中的规则信息

--list-rules/-S

Print the rules in a chain or all chains

--line-number

当列出规则信息时，打印规则行号

-v

显示详细信息，可以叠加

-h

显示帮助信息

初始化相关参数

iptables -F

清除所有规则，不会处理默认的规则

iptables -X

删除用户自定义的链

iptables -Z

链的计数器清零（数据包计数器与数据包字节计数器）

配置常用参数

-t 表名称

指定配置哪个表，指定配置表名称。

--append/-A 链名称

附加或追加上相应规则策略，到指定链(链名称必须大写)，默认将配置的规则插入到最后一条。

--check/-C

Check for the existence of a rule

--insert/-I 链名称

插入相应规则策略，到指定链上，默认将配置的规则插入到第一条（可以根据规则序号插入到指定位置）--封IP地址使用。

--delete/-D 链名称

删除指定的规则(可以根据规则序号进行删除)

--replace/-R

Replace rule rulenum (1 = first) in chain

-P(大写)链名称

改变链上的最终默认规则策略

--new/-N

创建新的用户定义链

-p 协议名称

[!] --proto

指定规则的协议名称 all tcp udp icmp

--dport

指定匹配的目标端口信息

--sport

指定匹配的源端口信息

-j 动作

匹配数据包后的动作    

ACCEPT

允许

DROP

丢弃(没有响应)

REJECT

拒绝(回应请求者明确的拒绝)

MASQUERADE

伪装上网时使用

SNAT

共享地址上网

DNAT

目的地址改写

-i

[!] --in-interface

在INPUT链配置规则中，指定从哪一个网卡接口进入的流量（只能配置在INPUT链上）

-o

[!] --out-interface

在OUTPUT链配置规则中，指定从哪一个网接口出去的流量（只能配置在OUTPUT链上）

-s

 [!] --source 

指定源IP地址或源网段信息

-d

[!] --destination

指定目标IP地址或目标网段信息

扩展参数

-m 模块

表示增加扩展，匹配功能扩展匹配（可以加载扩展参数）

multiport

实现不连续多端口扩展匹配

icmp

使用icmp的扩展

state

状态模块扩展

--icmp-type

只有类型8是真正会影响ping，或者也可以采用any；了解很多icmp类型iptables -p icmp -h

--limit n/{second/minute/hour}

指定时间内的请求速率”n”为速率，后面为时间分别为：秒 分 时

--limit-burst [n]

在同一时间内允许通过的请求”n”为数字，不指定默认为5

--exact/-x

扩展数字（显示精确数值）

配置前准备

先备份当前防火墙配置    （在企业中不清楚其他人配置规则的作用之前先备份）

cp /etc/sysconfig/iptables{,.bak}

 

在配置防火墙首先要启动防火墙

[root@clsn ~]# /etc/init.d/iptables start

iptables: Applying firewall rules: [ OK ]

清除iptables所有规则

[root@clsn ~]# iptables -Z    #清空iptables计数器  （作用：清零后，用户在访问，就可排除哪条规则起                                                        作用了）

[root@clsn ~]# iptables -X    #清空iptables自定义链配置

[root@clsn ~]# iptables -F    #清空所有规则，保留默认规则

查看iptables的规则

方法一：/etc/init.d/iptables status

方法二：iptables -L

[root@clsn ~]# iptables -nvL Chain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target prot opt in out source destination

查看其他的表配置（-t 参数）

[root@clsn ~]# iptables -nL -t raw Chain PREROUTING (policy ACCEPT)

target prot opt source destination

Chain OUTPUT (policy ACCEPT)

target prot opt source destination

查看配置规则的顺序号

[root@clsn ~]# iptables -nvL --number-list

--line-number # 显示规则的序号

iptables filter表配置实例

基础配置

配置实例一：配置22/ssh端口访问控制规则

iptables -A INPUT -p tcp --dprot 22 -j DROP # 禁止所有人访问22端口

iptables -I INPUT -p tcp --dprot 22 -j ACCEPT # 恢复连接方法

iptables -I INPUT 2 -p tcp --dprot 22 -j ACCEPT # 通过插入指定行号信息，指定将规则插入到第几行

iptables -D INPUT -p tcp --dport 22 -j ACCEPT # 删除指定规则

iptables -D INPUT 2 # 根据规则行号，删除相应的规则

只允许10.0.0.1的ip通过ssh连接这台服务器

iptables -I INPUT -s 10.0.0.1 -p tcp --dport 22 -j ACCEPT

如果默认规则是允许所有，还需修改默认规则为丢弃所有：

iptables -P INPUT DROP

配置实例二：禁止网段连入（禁止172.16.1.0网段访问172.16.1.188）

iptables -A INPUT -s 172.16.1.0/24 -d 172.16.1.188 -j DROP

配置实例三：禁止某个172.16.1.0网段访问服务器主机的22端口

iptables -A INPUT -s 172.16.1.0/24 -d 172.16.1.188 -p tcp --dport 22 -j DROP

方向说明：

# 在入方向控制

iptables -I INPUT -i eth0 -p tcp --dport 22 -j ACCEPT

# 在出方向控制

iptables -I OUTPUT -o eth0 -p tcp --sport 22 -j DROP

配置实例四：除10.0.0.0网段可以进行连接服务器主机以外，其余网段都禁止

  第一种方式：

iptables -A INPUT -s 10.0.0.0/24 -d 172.16.1.8 -j ACCEPT

iptables -P INPUT DROP

   修改默认规则，将默认规则改为拒绝

第二种方式：

   ！  --- 表示对规则信息进行取反

iptables -A INPUT ! -s 10.0.0.0/24 -d 172.16.1.8 -j DROP --- centos6用法

iptables -A INPUT -s ! 10.0.0.0/24 -d 172.16.1.8 -j DROP --- centos5用法

说明：只有iptables帮助手册中指定的参数可以用取反符号（iptables --help）

iptables配置的保存：

方法一：/etc/init.d/iptables save

方法二：iptables-save > /etc/sysconfig/iptables

配置实例五：测试匹配列举端口范围。

iptables -A INPUT -p tcp --dport 22:80 -j DROP # 设置连续多端口控制策略

iptables -A INPUT -p tcp -m multiport --dport 22,80 -j DROP # 设置不连续多端口控制策略

   -m 参数表示增加扩展匹配功能，multiport 实现不连续多端口扩展匹配

配置实例六：匹配ICMP类型

   禁止ping策略原则

   iptables服务器是ping命令发起者或是接受者

   发起者：

input链： 禁止icmp-type 0 

iptables -A INPUT -s 10.0.0.1 -p icmp --icmp-type 0 -j DROP

output链： 禁止icmp-type 8 

iptables -A OUTPUT -d 10.0.0.1 -p icmp --icmp-type 8 -j DROP

   接受者：

input链： 禁止icmp-type 8 

iptables -A INPUT -s 10.0.0.1 -p icmp --icmp-type 8 -j DROP

output链： 禁止icmp-type 0 

iptables -A OUTPUT -d 10.0.0.1 -p icmp --icmp-type 0 -j DROP

简化配置：

iptables -A INPUT -i eth0 -p icmp -m icmp --icmp-type any -j DROP #禁止所有类型的icmp

   指定类型禁止icmp

iptables -A INPUT -p icmp --icmp-type 8

iptables -A INPUT -p icmp --icmp-type 8 -j DROP

iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT

iptables -A FORWARD -s 192.168.1.0/24 -p icmp -m icmp --icmp-type any -j ACCEPT

   说明：只有类型8是真正会影响ping，或者也可以采用any；了解很多icmp类型iptables -p icmp -h

ICMP类型的说明

TYPE

CODE

Description

Query

Error

0

0

Echo Reply——回显应答（Ping应答）

x

 

3

0

Network Unreachable——网络不可达

 

x

3

1

Host Unreachable——主机不可达

 

x

3

2

Protocol Unreachable——协议不可达

 

x

3

3

Port Unreachable——端口不可达

 

x

3

4

Fragmentation needed but no frag. bit set——需要进行分片但设置不分片比特

 

x

3

5

Source routing failed——源站选路失败

 

x

3

6

Destination network unknown——目的网络未知

 

x

3

7

Destination host unknown——目的主机未知

 

x

3

8

Source host isolated (obsolete)——源主机被隔离（作废不用）

 

x

3

9

Destination network administratively prohibited——目的网络被强制禁止

 

x

3

10

Destination host administratively prohibited——目的主机被强制禁止

 

x

3

11

Network unreachable for TOS——由于服务类型TOS，网络不可达

 

x

3

12

Host unreachable for TOS——由于服务类型TOS，主机不可达

 

x

3

13

Communication administratively prohibited by filtering——由于过滤，通信被强制禁止

 

x

3

14

Host precedence violation——主机越权

 

x

3

15

Precedence cutoff in effect——优先中止生效

 

x

4

0

Source quench——源端被关闭（基本流控制）

  

5

0

Redirect for network——对网络重定向

  

5

1

Redirect for host——对主机重定向

  

5

2

Redirect for TOS and network——对服务类型和网络重定向

  

5

3

Redirect for TOS and host——对服务类型和主机重定向

  

8

0

Echo request——回显请求（Ping请求）

x

 

9

0

Router advertisement——路由器通告

  

10

0

Route solicitation——路由器请求

  

11

0

TTL equals 0 during transit——传输期间生存时间为0

 

x

11

1

TTL equals 0 during reassembly——在数据报组装期间生存时间为0

 

x

12

0

IP header bad (catchall error)——坏的IP首部（包括各种差错）

 

x

12

1

Required options missing——缺少必需的选项

 

x

13

0

Timestamp request (obsolete)——时间戳请求（作废不用）

x

 

14

 

Timestamp reply (obsolete)——时间戳应答（作废不用）

x

 

15

0

Information request (obsolete)——信息请求（作废不用）

x

 

16

0

Information reply (obsolete)——信息应答（作废不用）

x

 

17

0

Address mask request——地址掩码请求

x

 

18

0

Address mask reply——地址掩码应答

 

防火墙状态机制配置

状态集简单说明:

状态集

说明

NEW

表示新建立连接的数据包状态

ESTABLISHED

表示新建立连接数据包发送之后，回复响应的数据包状态

RELATED

表示借助已经建立的链路，发送新的连接数据包

如：如果禁止了RELATED状态，FTP可以建立连接，但无法传输数据

INVALID

无效无法识别的数据包

注意：允许关联的状态包通过（web服务不要使用FTP服务）

防火墙服务配置在FTP服务器上时，需要配置以下策略

 

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

实现发现sent_syn状态

iptables -A INPUT -m state --state NEW -j DROP # 防火墙所连接客户端上配置

实现发现sent_rcvd状态

iptables -I INPUT -i eth0 -s 10.0.0.201 -m state --state ESTABLISHED -j DROP # 防护墙上配置的

使用iptables实现限速功能

limit是iptables的一个匹配模块，用它结合iptables的其它命令可以实现限速的功能。

不过首先必须明确，limit本身只是一个“匹配”模块。我们知道，iptables的基本原理是“匹配--处理”，limit在这个工作过程中只能起到匹配的作用，它本身是无法对网络数据包进行任何处理的。我看到网上有些limit的例子里面说只 用一条包含limit匹配规则的iptables语句就可以实现限速，那是错误的。

实际上，利用imit来限速需要包括两个步骤:

1.对符合limit匹配规则包放行

2.丢弃/拒绝未放行的包

示例：

iptables -I INPUT -s 10.0.0.7 -p icmp --icmp-type 8 -m limit --limit 6/min --limit-burst 5 -j ACCEPT

iptables -I INPUT -s 10.0.0.7 -p icmp --icmp-type 8 -j DROP

   语句含义：当来自10.0.0.7 的ping包超过5个时进行限速，限制为每10s一个。

参数说明：

参数

参数含义

--limit n/{second/minute/hour}

指定时间内的请求速率”n”为速率，后面为时间分别为：秒 分 时

--limit-burst [n]

在同一时间内允许通过的请求”n”为数字，不指定默认为5

limit模块具体是如何工作的。？

limit的匹配是基于令牌桶 (Token bucket）模型的。

令牌桶是一种网络通讯中常见的缓冲区工作原理，它有两个重要的参数，令牌桶容量n和令牌产生速率s。

我们可以把令牌当成是门票，而令牌桶则是负责制作和发放门票的管理员，它手里最多有n张令牌。一开始，管理员开始手里有n张令牌。每当一个数据包到达后，管理员就看看手里是否还有可用的令牌。如果有，就把令牌发给这个数据包，limit就告诉iptables，这个数据包被匹配了。而当管理员把手上所有的令牌都发完了，再来的数据包就拿不到令牌了。这时，limit模块就告诉iptables，这个数据包不能被匹配。除了发放令牌之外，只要令牌桶中的令牌数量少于n，它就会以速率s来产生新的令牌，直到令牌数量到达n为止。

通过令牌桶机制，即可以有效的控制单位时间内通过（匹配）的数据包数量，又可以容许短时间内突发的大量数据包的通过（只要数据包数量不超过令牌桶n）。

limit模块提供了两个参数--limit和--limit-burst，分别对应于令牌产生速率和令牌桶容量。除了令牌桶模型外，limit匹配的另外一个重要概念是匹配项。在limit中，每个匹配项拥有一个单独的令牌桶，执行独立的匹配计算。

 

企业级防火墙配置

清除防火墙规则

[root@clsn ~]# iptables -F

[root@clsn ~]# iptables -X

[root@clsn ~]# iptables -Z

修改默认规则为拒绝（修改前先放行22端口，保证自己能够连上主机）

[root@clsn ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[root@clsn ~]# iptables -P INPUT DROP

[root@clsn ~]# iptables -P FORWARD DROP

放行指定的端口

[root@clsn ~]# iptables -A INPUT -i lo -j ACCEPT

[root@clsn ~]# iptables -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT

[root@clsn ~]# iptables -A INPUT -s 172.16.1.0/24 -j ACCEPT

[root@clsn ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

保存iptables配置

01. 第一种方式

[root@clsn ~]# /etc/init.d/iptables save

iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]

[root@clsn ~]# cat /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Tue Apr 4 12:24:43 2017

*filter

:INPUT DROP [0:0]

:FORWARD DROP [0:0]

:OUTPUT ACCEPT [159:10664]

-A INPUT -s 10.0.0.0/24 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

-A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT

-A INPUT -s 172.16.1.0/24 -j ACCEPT

-A INPUT -i lo -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

COMMIT

# Completed on Tue Apr 4 12:24:43 2017

02. 第二种方式

iptables-save >/etc/sysconfig/iptables

 

iptables nat表配置实例

iptables实现共享上网

第一个里程碑：配置内网服务器，设置网关地址

/etc/init.d/iptables stop # 内网服务器停止防火墙服务

ifdown eth0 # 模拟关闭内网服务器外网网卡

setup # 修改内网网卡网关和DNS地址信息

也可以使用命令添加默认网关

route add default gw 172.16.1.188

查看默认的路由信息

[root@test ~]# route -nKernel IP routing table

Destination Gateway Genmask Flags Metric Ref Use Iface

172.16.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1

169.254.0.0 0.0.0.0 255.255.0.0 U 1003 0 0 eth1

0.0.0.0 172.16.1.188 0.0.0.0 UG 0 0 0 eth1

说明：内网服务器网关地址指定为共享上网服务器内网网卡地址

第二个里程碑：配置共享上网服务器，开启共享上网服务器路由转发功能

[root@clsn ~]# vim /etc/sysctl.conf

[root@clsn ~]# sysctl -p

~~~

net.ipv4.ip_forward = 1

~~~

第三个里程碑：配置共享上网服务器，实现内网访问外网的NAT映射

iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j SNAT --to-source 10.0.0.188

参数详解：

参数

参数说明

-s 172.16.1.0/24

指定将哪些内网网段进行映射转换

-o eth0

指定在共享上网哪个网卡接口上做NAT地址转换

-j SNAT

将源地址进行转换变更

-j DNAT

将目标地址进行转换变更

--to-source ip地址

将源地址映射为什么IP地址

--to-destination ip地址

将目标地址映射为什么IP地址

当filter表中的forward默认为drop策略时，如何配置forward链？

 配置示例

iptables -A FORWARD -i eth1 -s 172.16.1.0/24 -j ACCEPT

# iptables -A FORWARD -o eth0 -s 172.16.1.0/24 -j ACCEPT # 可以不进行配置

iptables -A FORWARD -i eth0 -d 172.16.1.0/24 -j ACCEPT

# iptables -A FORWARD -o eth1 -d 172.16.1.0/24 -j ACCEPT # 可以不进行配置

当外网ip不固定时如何配置？

iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j MASQUERADE # 伪装共享上网

说明：在企业中如何没有固定外网IP地址，可以采取以上伪装映射的方式进行共享上网

配置映射方法小结

 01. 指定哪些网段需要进行映射     -s 172.16.1.0/24

02. 指定在哪做映射               -o eth0

03. 用什么方法做映射             -j SNAT/DNAT MASQUERADE

04. 映射成什么地址               --to-source  ip地址/--to-destination ip地址

iptables实现外网IP的端口映射到内网IP的端口

实际需求：将网关的IP和9000端口映射到内网服务器的22端口

端口映射 10.0.0.188:9000 -->172.16.1.180:22

配置实例：

iptables -t nat -A PREROUTING -d 10.0.0.188 -p tcp --dport 9000 -i eth0 -j DNAT --to-destination 172.16.1.7:22

参数说明:

参数

参数说明

-d 10.0.0.188

目标地址。

-j DNAT

目的地址改写。

 

 IP一对一映射

实际需求：将ip 地址172.16.1.180 映射到10.0.0.188

通过辅助IP配置：

ip addr add 10.0.0.81/24 dev eth0 label eth0:0 # 添加辅助IP

iptables -t nat -I PREROUTING -d 10.0.0.81 -j DNAT --to-destination 172.16.1.51

iptables -t nat -I POSTROUTING -s 172.16.1.51 -o eth0 -j SNAT --to-source 10.0.0.81

适合内网的机器访问NAT外网的IP

iptables -t nat -I POSTROUTING -s 172.16.1.0/255.255.240.0 -d 10.0.0.81 -j SNAT --to-source 172.16.1.8

检查配置：

ping 10.0.0.81 -t

tcpdump|grep -i icmp（两台机器上分别监测）

telnet 10.0.0.81 22

映射多个外网IP上网

 方法1：

iptables -t nat -A POSTROUTING -s 10.0.1.0/255.255.240.0 -o eth0 -j SNAT --to-source 124.42.60.11-124.42.60.16

      在三层交换机或路由器，划分VLAN。

   方法2：

iptables -t nat -A POSTROUTING -s 10.0.1.0/22 -o eth0 -j SNAT --to-source 124.42.60.11

iptables -t nat -A POSTROUTING -s 10.0.2.0/22 -o eth0 -j SNAT --to-source 124.42.60.12

      扩大子网，会增加广播风暴。

系统防火墙与网络内核优化标准参数

有关iptables的内核优化

调整内核参数文件/etc/sysctl.conf

以下是我的生产环境的某个服务器的配置：

解决time-wait过多的解决办法：

net.ipv4.tcp_fin_timeout = 2

net.ipv4.tcp_tw_reuse = 1

net.ipv4.tcp_tw_recycle = 1

net.ipv4.tcp_syncookies = 1

net.ipv4.tcp_keepalive_time = 600

net.ipv4.tcp_max_tw_buckets = 36000

net.ipv4.ip_local_port_range = 4000 65000

net.ipv4.tcp_max_syn_backlog = 16384

net.ipv4.route.gc_timeout = 100

net.ipv4.tcp_syn_retries = 1

net.ipv4.tcp_synack_retries = 1

在dmesg中显示  ip_conntrack: table full, dropping packet. 的错误提示，什么原因？

如何解决？

   #iptables优化

net.nf_conntrack_max = 25000000

net.netfilter.nf_conntrack_max= 25000000

net.netfilter.nf_conntrack_tcp_timeout_established= 180

net.netfilter.nf_conntrack_tcp_timeout_time_wait= 120

net.netfilter.nf_conntrack_tcp_timeout_close_wait= 60

net.netfilter.nf_conntrack_tcp_timeout_fin_wait= 120

转载于:https://www.cnblogs.com/mustark/p/10413982.html

weixin_30699955
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables高级应用实战案例
12-16
一、SNAT源地址转换； 二、DNAT目的地址转换； 三、SNAT和DNAT实战案例；
linux企业防火墙软件,掌握Linux防火墙经典应用 让企业网络更安全
weixin_31931045的博客
05-09 94
iptables 这个指令, 如同以下用 man 查询所见, 它用来过滤封包和做NAT Network Address Translation(网路位址转译), 这个指令的应用很多, 可以做到很多网路上的应用.iptables - administration tool for IPv4 packet filtering and NAT应用1：让区域网路内的电脑以一个真实IP来共享频宽(实作NAT...
iptables高级应用实例
不用此栏
01-21 3789
 1 iptables不错脚本（参考 ) Quote: [root@server ~]# cat /opt/iptables/iptables.rule #!/bin/bash # # The interface that connect Internet EXTIF="ppp0" # the inside interface. if you dont have this one # and y
企业防火墙之iptables
惨绿少年 | 欢迎访问CLSN博客站点 http://clsn.io
01-26 271

 1.1 企业中安全优化配置原则
 尽可能不给服务器配置外网ip ,可以通过代理转发或者通过防火墙映射.并发不是特别大情况有外网ip,可以开启防火墙服务.
 大并发的情况，不能开iptables,影响性能，利用硬件防火墙提升架构安全
 1.1.1 生产中iptables的实际应用
 主要应用方向
 1、主机防火墙（filter...
iptables常用命令参数及企业级标准防火墙部署实战案例
TY19285的博客
05-04 119
2018-05-0413:34:19 命令及使用方法 iptables -nL 查看防火墙规则 　　-n 以数字形式显示IP 　　-L 列表 iptables -F 清空防火墙规则 iptables -X 清空用户自定义的链 iptables -Z 链的计数器清零 配置语句实例 iptables -t Filter -A INPUT -p tcp --dport 52...
企业网站防CC攻击软件防火墙和WEB防火墙大比较
ruixunwangluo的博客
05-10 1167
微信：root143 作者：王涛 （www.deshengidc.cn） CC攻击是一种成本极低的DDOS攻击方式，只要有上百个IP，每个IP弄几个进程，那么可以有几百上千个并发请求，很容易让服务器资源耗尽，从而造成网站宕机；防御CC 击，硬件防火墙的效果不怎么明显，因为CC攻击的IP量太小，很难触发防御机制，反而是软件防火墙、WEB防火墙更容易防御。 那么，软件防火墙和WEB防...
企业级办公室iptables防火墙应用案例
weixin_33757911的博客
09-02 167
iptables [-t表名] <-A| I |D |R> 链名[规则编号] [-i | o 网卡名称] [-p 协议类型] [-s 源IP地址 | 源子网][--sport 源端口号] [-d 目标IP地址 | 目标子网][--dport 目标端口号] <-j 动作 >INPUT链：当一个数据包由内核中的路由计算确定为本地Linux系统后,它会通过...
IPtables 企业级的防火墙实战
weixin_34261415的博客
12-28 192
通过防火墙可以有效的进行安全控制，下面就简单列举一下所涉及使用及生产脚本 1，iptables脚本 [root@ghzz ~]# vi /root/shell/iptables.sh #!/bin/bash #by qiuyuetao #contact ：598759292 #-----------------------------------------------------------...
iptables防火墙应用案例
vincen world
07-05 410
案例1： 允许任意的客户端范文服务器主机提供的日常服务（HTTP，HTTPS，DNS，NTP，SMTP，POP3，SSH），在Linux中，/etc/services文件可以找到各种服务所对应的标准端口信息。 iptables -A INPUT -p tcp --dport 22 -j ACCEPT #允许22端口（SSH）数据包通过 iptables -A INPUT -p udp...
体验iptables 企业级的防火墙实战
Linuxprobe18的博客
02-02 382
iptables优化案例 [root@ghzz ~]# vi /root/shell/iptables.sh #!/bin/bash #by qiuyuetao #-------------------------------------------------------------------------- IPTAB=/sbin/iptables #定义环境变量 $IPTAB -X #清...
TCP拦截和网络地址转换
12-21
TCP拦截和网络地址转换 本书将讨论与访问表相关的技术，而非访问表本身。这些技术提供了控制网络中数据流 量的附加功能。这些功能特性会使读者能够加强进出网络报文的附加功能。通过智能地对数 据本身进行操作，例如，可以操纵 I P报文中的源和目的地址，或者给某种通信报文分配较多 的带宽，读者就能够进一步加强进出网络的报文的安全性和控制能力。本章将讨论两种特性： T C P拦截和网络地址转换（Network Address Tr a n s l a t i o n，N AT），它们可以大大加强对网络中 数据流量的控制能力。先介绍 T C P拦截，并讨论其特性以及它是如何在网络中实现的。还将 介绍有关T C P拦截的所有配置和调试命令。在 T C P拦截这一部分，最后给出几个使用该特性的 示例。之后，介绍 N AT的整体概念，包括 N AT的引入、 N AT特性以及如何将其用于网络中。 最后将讨论有关N AT的配置和调试命令，并介绍许多详细的示例。 8.1 TCP拦截概述 T C P拦截（TCP intercept）从IOS 11 . 3开始引入，现在的所有路由器平台都有该功能。设 计该特征的目的是防止 S Y N攻击内部主机（第 7章已简要地讨论了 S Y N攻击）。S Y N泛洪攻击 是简单的。 T C P三路握手的第一个报文设置了 S Y N位。当某台设备接收到一个请求服务的初 始报文时，该设备响应这个报文，发回一个设置了 S Y N和A C K位的报文，并等待源端来的 A C K应答。如果请求的发出者不作响应，主机就会因为超时而结束连接。当主机在等待这个 事务完成时，这种 h a l f - o p e n的连接消耗了主机的资源。在等待三路握手时资源被耗尽就是攻 击的本质所在。 成千上万个设置了 S Y N位的报文被发往一台主机，以便在设备的侦听端口上建立一个 T C P连接。但是，这些报文中的源 I P地址是伪造的。这些报文中所设置的源地址都是不可达 的地址；在大多数情况下，源地址要么是来自 R F C 1 9 1 8（即，1 0 . 0 . 0 . 0 / 8，1 7 2 . 1 6 . 0 . 0 / 1 5以及 1 9 2 . 1 6 8 . 0 . 0 / 1 6）的未注册地址，要么是不存在的主机地址。从被攻击的主机到初始源 I P地址 主机的返回报文就永远不能到达一个真实的主机。这样，被攻击的主机就永远也收不到完成 三路握手的应答报文。因此，它必然因为成千上万个连接的超时而要关闭这些连接。最终， 被攻击的主机资源被耗尽，主机也就没什么用处了。如果发送有足够数量的 S Y N报文，则某 些操作系统也会崩溃，并且需要重启系统。 这就是常见的D o S攻击，这种攻击本身破坏性极强，而且它有时也作为更复杂的攻击的一 部分。例如，攻击者知道用户的某台服务器信任来自防火墙外面另一台服务器的报文，则他 会先攻击防火墙外面的那台服务器，并设置一个嗅探程序来查看用户网络报文。如果攻击者 不能攻破防火墙外面的这台服务器，他就无法打破防火墙，或者这时他就会尝试获取这两台 主机之间的信任关系。 第一步就是对防火墙外面的这台可信主机发起 S N Y泛洪，以阻止其响应任何新的网络会 话。攻击者而后使用外部服务器的源 I P地址向内部服务器发送报文。内部服务器就会响应该 可信外部服务器的I P地址，但外部服务器会由于 D o S攻击而不能响应内部服务器。攻击者的机 92 C i s c o访问表配置指南 下载 92 C i s c o访问表配置指南 下载 器可能看不到报文，但如果攻击者能够预测内部服务器所用的.. T C P顺序号，就会成功地完成.. T C P的三路握手，从而进一步地攻击到了内部服务器。根据所允许通过防火墙的服务类型，攻 击者可以将对外部可信主机的.. D o S攻击和I P欺骗结合起来，从而对内部主机实施攻击。图.. 8 - 1 说明了这种攻击。 中心问题是.. S Y N泛洪的危险性远不止只是攻破一个单一主机，它可以与其他攻击方法相 结合来攻破网络中的其他主机。 已攻陷的主机 使用源IP地址171.10.1.1 发送报文 信任主机 泛洪 路由器 内部主机 图8-1 对外部主机的DoS攻击。攻击过程分为两个阶段：(1) 用SYN泛洪“麻醉”主机使其不能响应；.. (2) 发送报文到内部主机，并欺骗源IP地址，这样内部主机就会相信来自可信主机的报文 在T C P连接请求到达目标主机之前，.. T C P拦截通过对其进行拦截和验证来阻止这种攻击。 这个特征可以在两种模式上工作：拦截和监视。在拦截模式下（.. intercept mode），路由器拦截 所有到达的.. T C P同步请求，并代表服务器建立与客户机的连接，并代表客户机建立与服务器 的连接。如果两个连接都成功地实现，路由器就会将两个连接进行透明的合并。路由器有更 为严格的超时限制，以防止其自身的资源被.. S Y N攻击耗尽。在监视模式下，路由器被动地观 察h a l f - o p e n连接（没有完成.. T C P三路握手的连接）的数目。如果超过了所配置的时间，路由 器也会关闭连接。访问表则用来定义要进行.. T C P拦截的源和目的地址。.. 8.1.1 开启TCP拦截 开启T C P拦截，有两个步骤是必需的：.. 1) 配置访问表，以开启需要保护的 I P地址。.. 2)开启.. T C P拦截 在第1步中，读者可以使用一个扩展的.. I P访问表。通常指定a n y作为源I P地址，因为我们一.. 第 8章 TCP拦截和网络地址转换 93 下载 般都希望T C P拦截检查所有到达脆弱主机的向内连接。在第 2步中，则真正地开启 T C P拦截特 性。如果第 2步中的访问表没有定义，则 T C P拦截将不会检查任何向内连接。 8.1.2 设置模式 T C P拦截可以在拦截和监视两种模式下工作，缺省为拦截模式。在这种模式下，路由器 响应到达的S Y N请求，并代替服务器发送一个响应初始源 I P地址的S Y N - A C K报文，然后等待 客户机的A C K。如果收到A C K，再将原来的 S Y N报文发往服务器，路由器代替原来的客户机 与服务器一起完成三路握手过程。这种模式增加了路由器的内存和 C P U的额外开销，并且增 加了一些初始会话的延时。 在监视模式下，路由器允许 S Y N请求直接到达服务器。如果这个会话在 3 0秒钟内（缺省 值）没有建立起来，路由器就给服务器发送一个 R S T，以清除这个连接。路由器等待的时间 是可以配置的。其模式可以使用下面的命令设置： 缺省模式是i n t e r c e p t。 8.1.3 主动门槛值 当一个路由器因为其所定义的门槛值而确认服务器正遭受攻击时，路由器就主动删除连 接，直到 h a l f - o p e n的连接值降到小于门槛值。首先关闭的是最早的连接，除非使用了“ ip tcp intercept drop-mode random”命令。当所设置的门槛值被超时时，路由器进行下面的动作： 1) 每一个新的连接导致一个最早的（或随机的）连接被删除。 2) 初始的重传超时时间被减少一半，直到 0 . 5秒。 3) 如果处于监视模式，则超时时间减半，直到 1 5秒。 有两个因素用来判断路由器是否正在遭受攻击。如果超过了两个高门槛值中的一个，则 表明路由器正遭受攻击，直到门槛值已经降至两个低门槛值以下。下面显示了有关的参数及 其缺省值，并对其加以简单描述。 1) ip tcp intercept max-incomplete high number 11 0 0 在路由器开始删除连接之前，能够存在的 h a l f - o p e n连接的最大数目。 2) ip tcp inercept max-incomplete low number 900 在路由器停止删除h a l f - o p e n连接之前，能够存在的最大 h a l f - o p e n连接数目。 3) ip tcp intercept one-minute high number 11 0 0 在路由器开始删除连接之前，每分钟内能存在的最大 h a l f - o p e n连接数目。 4) ip tcp intercept one-minute low number 900 在路由器停止删除连接之前，每分钟内能存在的最小 h a l f - o p e n连接数目。 h a l f - o p e n连接总数与每分钟 h a l f - o p e n连接的数量比率是相联系的。任何一个最大值到达， T C P拦截就被激活并且开始删除 h a l f - o p e n连接。一旦T C P拦截被激活，这两个值都必须下降到 T C P拦截的低设置值，以便停止删除连接。 8.1.4 其他命令 还有一些其他有用的命令可用于检查有关 T C P拦截的信息。下面给出了这些命令，并附 94 C i s c o访问表配置指南 下载 94 C i s c o访问表配置指南 下载 带了一个T C P拦截的简单示例： 下一节将介绍使用上述格式的.. T C P拦截的详细示例。.. 8.2 TCP拦截应用：示例1 在本例中，某公司使用一台路由器，将其一个E t h e r n e t连接到内部.. L A N，并将一个串行接 口连接到一个I S P。在E t h e r n e t上有一台.. We b服务器，其所用的.. I P地址为1 9 8 . 5 0 . 1 . 1 0 0，并且希 望使用.. T C P拦截功能来保护该服务器。该路由器是一个低端服务器，所以我们希望：在能够 监视进来的T C P连接的同时，尽可能多地保留资源（见图.. 8 - 2）。 服务器 工作站 内部网络 客户路 由器 提供者的 路由器 拥有198.50.1.100目的地址的 报文被TCP拦截所监视 图8-2 网络方案：示例1 8.2.1 解决方案 8.2.2 分析 在本方案中，先定义访问表.. 1 0 1，用以指出需要查看的报文，这些报文是到达.. 1 9 8 . 5 0 . 1 . 1 0 0的报文。而后定义.. T C P拦截命令，并将访问表.. 1 0 1用于匹配被监视的报文。还定 义了T C P拦截的操作模式是监视模式，这会比缺省的拦截模式使用更少的路由器资源。这些.. 第 8章 TCP拦截和网络地址转换 95 下载 步骤就是启用T C P拦截保护We b服务器的所有操作。 8.3 TCP拦截应用：示例2 在本例中，公司与示例 1中的公司相同，使用一台路由器，将其一个 E t h e r n e t接口连接到 内部L A N中，并将一个串行接口连接到一个 I S P。但本例中公司不是使用一个简单的 We b服务 器，而是使用一组 We b服务器，其 I P地址从1 9 8 . 5 0 . 1 . 1到1 9 8 . 5 0 . 5 0 . 1 0 0。在本网段中不再使用 其他的I P地址。我们希望使用 T C P拦截来保护所有的 We b服务器。由于使用了一台高性能路由 器，所以路由器资源并不是关键因素，我们有 1 0 0台We b服务器，并且期望有大量的 T C P请求 进来（见图8 - 3）。 目的地址198.50.1.1到198.50.1.100 的报文被TCP拦截所监测。 图8-3 网络方案：示例2 8.3.1 解决方案 8.3.2 分析 在这个方案中，定义了访问表 1 0 1，用来指定匹配目的 I P地址的范围在 1 9 8 . 5 0 . 1 . 0到 1 9 8 . 5 0 . 1 . 1 2 8之间的所有报文。注意到匹配上的地址比实际使用的地址要多，因为 We b服务器 的I P地址只用到 . 1 0 0，但这也不会产生任何问题。而后我们定义 T C P拦截命令来指定访问表 1 0 1用于匹配 T C P所监视到的报文。我们还改变了 T C P拦截的缺省阈值设置，因为我们期望在 大量的 We b服务器中应能够在任何时刻都有大量的 S Y N请求。我们保留拦截模式的缺省值， 因为有足够的资源来管理每个 T C P连接。 至此已介绍完了T C P拦截。下一节将讨论网络地址转换（ N AT）。 8.4 网络地址转换概述 网络地址转换可以动态改变通过路由器的 I P报文的内容，以便修改报文的源 I P地址和 96 C i s c o访问表配置指南 下载 96 C i s c o访问表配置指南 下载 （或）目的I P地址。离开路由器的报文的源地址或目的地址会转换成与原来不同的地址。这种 功能使得管理员可以隐藏内部网络的 I P地址，并要求路由器可以执行 N AT。这项对于那些使 用来自 R F C 1 8 1 9的未注册地址空间的公司是必需的，或者对于那些为其他公司进行 I P注册的 组织也十分有用。 8.4.1 特征 N AT可以用来修改I P报文头中的源 I P地址和目的 I P地址。I P校验和由N AT处理过程自动进 行修改。有些应用程序将源 I P地址嵌入到了I P报文的数据部分中，所以需要对报文进行修改。 对于这些应用程序， N AT进程也必须修改报文的数据部分，以匹配 I P头中已修改过的源 I P地 址。N AT的C i s c o版本可以处理许多的应用，这些应用的报文数据部分包含 I P地址。C i s c o版本 也允许共享负载的T C P流量，这可以通过允许对单个 I P地址的T C P请求来实现。这些特性将在 本章后面介绍。 在诸如I n t e r n e t，或不同组织互连的管理域边界上， N AT使用得十分普遍。某些组织虽然 申请了一些地址空间，但上网主机的数目超过了 I P地址的数目，此时 N AT就十分有用。没有 注册的地址可以在内部使用，而注册地址只用于报文与外部网络通信。 N AT处理过程对于源 端和目的端主机都是透明的。 8.4.2 局限性 尽管N AT是一个很有用的工具，它还是有一些缺陷。 N AT所面临的最主要的困难在于： 有些应用程序将源I P地址嵌入到了I P报文的数据部分中。这样，报文的源 I P地址在经过N AT的 转换之后，就与报文数据部分的 I P地址不匹配。如果I P头中的源I P地址不匹配报文数据部分的 源I P地址，则这些在报文的数据部分嵌入 I P地址的应用程序不能正常工作。 C i s c o实现的N AT 能够处理许多将 I P地址包含在报文数据部分的应用程序。一个特别例子是 N e t B I O S会话服务。 N e t B I O S服务用于 Windows NT，所以它在数据网络中应用得很普遍。 C i s c o可以支持全部的 N e t B I O S服务。表8 - 1列举了C i s c o目前所支持的应用。 表8-1 Cisco NAT所支持的应用 任何非源和目的的T C P / U D P报文 在I P报文的数据部分中的I P地址 I C M P F T P T C P上的N e t B i o s（除了会话服务） R e a l A u d i o White Pines CUSeeMe S t r e a m w o r k s DNS “A”和 “ P T R”查询 H . 3 2 3① N e t M e e t i n g① V D O L i v e V x t r e m e ①在IOS 12.0.1或更高版本中支持。 Cisco NAT不支持表 8 - 2中的应用。如果读者要使用这些应用，就要知道当路由器执行 下载下载 第 8章 TCP拦截和网络地址转换 97 N AT时它们很可能工作不正常。 表8-2 Cisco NAT不支持的应用 I P组播 路由表更新 D N S域的迁移 B O O T P Talk, ntalk S N M P N e t S h o w 8.5 NAT的术语 讨论N AT时，要用到几个术语： 1) 内部本地地址（ inside local address）——分配给内部网络上主机的 I P地址。这些地址 通常只有内部主机知道。 2) 内部全局地址（inside global address）——分配给内部主机的以用于 N AT处理的地址； 这种内部主机的地址可以被外部主机看到。 3) 外部本地地址（ outside local address）——分配给外部主机的以用于 N AT处理的I P地 址；这些外部主机的地址可以被内部主机看到。 4) 外部全局地址（outside global address）——分配给外部网络上主机的 I P地址。这类地 址可以被外部主机知道，但不能被内部主机知道。 内部地址被内部网络所使用，这些地址可能要进行转换。外部地址被外部网络所使用， 也可能需要进行转换。术语“本地（ l o c a l）”指的是其地址可以被内部主机看到。而术语“全 局（g l o b a l）”指的是地址可以被外部主机看到。注意，如果外部地址没有经过 N AT转换的话， 外部本地地址和外部全局地址可能是一样的。也就是说，外部主机地址在外部网络和内部网 络上可能是相同的，而实际情况也是如此。 理解这些术语的简单方法是抓住其第一个词语：内部或外部，它反映了报文的来源。内 部本地地址（inside local address）和内部全局地址（outside global address）这两个术语都表 明报文是来自内部网络的。第二个词语，本地或全局，则表明地址的可见范围。本地地址是 在本地网络中可见。全局地址则在外部网络上可见。这样，一个内部本地地址来自内部网络， 并且只在内部网络中可见。由于这些地址是在内部网络中，并且只对内部设备可见，因此不 需要进行 N AT操作。相反地，内部全局地址来自内部网络，但却在外部网络中可见。这些地 址一般都要进行N AT操作。 8.6 启用NAT 在路由器上启用 N AT功能需要了解几个命令。首先，读者需要确定在哪个接口上启用 N AT，以及该接口是内部接口还是外部接口。通常，连接到用户内部网络的接口是 N AT内部 接口，而连接到外部网络，例如 I n t e r n e t的接口，是N AT外部接口。这些约定很重要，因为在 后面将要介绍的其他N AT命令配置过程中要参考这些约定。每种接口命令的语法如下： 98 C i s c o访问表配置指南 下载 98 C i s c o访问表配置指南 下载 示例： 在确定启用 N AT的接口之后，接下来就要确定内部全局地址。根据已有的定义，具有这 些地址的报文从内部网络流出到外部网络以后，报文的地址在外部网络上是可见的。这通常 是转换地址。 地址转换可以是动态的或静态的。如果我们不关心哪些内部本地址应该转换为哪些内部 全局地址，则可以允许路由器从地址缓冲池中选取一个可用的地址。使用 ip nat pool命令来定 义该地址缓冲池： 示例： 注意，上述这些命令是等价的。另外我们已定义了将从 . 1到. 5 0的地址放在内部全局地址 缓冲池中。即使我们指定将掩码用于整个子网， < s t a r t - i p >和< e n d - i p >将地址范围限制在 . 1 到. 5 0之间。 定义了 N AT池之后，当需要将一个内部本地地址映射为内部全局地址时，路由器就从池 中取出第一个地址项。用户不能事先指定取池中的哪个地址。如果需要指定映射的 I P地址， 则需要使用静态映射。我们在后面提供了相关的示例。 在ip nat pool命令的语法中， r o t a r y关键字用于一个可用的内部本地 I P地址池，以将其中 的内部本地 I P地址映射到相同的内部全局地址。该关键字是很有用的，例如，读者拥有一个 繁忙的We b站点，并且希望多个服务器响应对同一 I P地址的We b请求，就应该使用该关键字。 我们将在后面给出示例。 一旦创建了内部全局地址池，读者就需要指定允许哪些报文获得池中的地址。这可以使 用ip nat inside source命令来完成。读者也可以在内部本地和内部全局地址间指定静态映射。 这两种方法都可用命令 ip nat iside source来实现，如下所示： 示例： 当使用 l i s t关键字时，该命令允许那些匹配访问表 l i s t的报文可以从名为 n a m e的N AT池中 获取地址。o v e r l o a d关键字启用端口地址转换（ Port Address Translation, PAT）。通过在N AT转 换表中维持 T C P / U D P端口信息和 I P地址信息， PAT允许将多个内部本地地址转换为一个单一 的内部全局地址。当内部全局地址数目有限时，这种特性十分有用。单一的 PAT地址可以与 第 8章 TCP拦截和网络地址转换 99 下载 N AT外部接口的I P地址相同，这在公司只有一个来自 I S P的可用地址时十分有用。在大多数的 配置中，路由器所连接的 I n t e r n e t必须具有一个全局可路由的 I P地址，因此使用与 PAT相同的 地址是有用的。这种情况下还可以使用一种语法格式： 读者也可以将外部全局地址转换为外部本地地址，这在相互连系的公司之间各自所使用 的外部地址存在重叠时是十分有用的。例如，如果两个公司使用 RFC 1918中重叠的地址，例 如1 0 . 0 . 0 . 0 / 2 4网络，则转换外部全局地址的语法如下： 示例： 这些命令的示例，将在后面介绍。 8.7 其他命令 在路由器上配置 N AT时，应该了解一些其他命令。首先，可以使用命令来配置几个超时 值，用以节省地址和路由器内存空间。这里每个 N AT转换都需要一定的内存空间。如果不使 用端口地址转换，只使用如下的一个命令即可： 超时时间的单位是秒，缺省值是 2 4小时或者3 6 4 0 0秒。在需要大量 N AT转换的环境中，最 好将此超时值设为 1 ~ 2小时，或者更小，因为路由器可能没有足够的内存来使用。如果使用 PAT，则还需要其他的命令，这时路由器要查看其 N AT表中的端口号和I P地址（注意，如果不 使用PAT，则不会查看N AT表中的端口号）。要启用PAT功能，可使用如下的定时器： 这些值大多数都是含义自明的。 f i n r s t - t i m e o u t表示在路由器看到 F I N或RST TCP报文之后 的超时值。p o r t - t i m e o u t值用于T C P和U D P。s y n - t i m e o u t值在看到SYN TCP报文时启用。这些 超时值中绝大多数都很小，一般是几分钟，可以使用其缺省值。例外的是 T C P，其超时值为 2 4小时。如前面所述，我们希望 T C P超时值是1 ~ 2小时，或者更低。 如果使用PAT，随着计数器的增值计数， N AT表中的不活跃表项只能存在很短一段时间。 例如，即使 T C P超时值为2 4小时，如果在 N AT转换中出现了 F I N或R S T报文，则表项会在 1分 钟内被删除。由于正常终止的会话能看到一个 F I N或R S T报文，因此只有那些非正常结束的 T C P连接才会在N AT表中保留一段时间。这就是我们建议使用较低的 T C P超时值的原因。非正 常结束的连接在N AT表中转换时使用较小的超时值。 100 C i s c o访问表配置指南 下载 100 C i s c o访问表配置指南 下载 除了超时命令外，还有其他一些有用的命令。下面给出每个的简短描述和示例输出： 另一个极有用的其他N AT命令是： 该命令用于消除.. N AT表中的转换，这对于调试诊断有用。在后面的示例中，将不再提及 这睦命令，以免重复，但读者最好熟悉它们并在自己的应用中查看其输出。下一节将给出使 用N AT的几个详细示例。.. 8.8 NAT应用：示例1 在本例中，某公司使用一台具有两个E t h e r n e t的路由器。.. E t h e r n e t 0连接到内部网络，而.. 第 8章 TCP拦截和网络地址转换 101 下载 E t h e r n e t 1则连接到一个L A N网段。公司与其I S P的路由器共享该网段。在内部网络中，公司使 用1 0 . 0 . 0 . 0 / 2 4地址空间中的地址。公司为自己提供一个 I P地址或1 7 1 . 1 0 0 . 1 . 0 / 2 4。公司路由器 的接口使用 I P地址 1 7 1 . 1 0 0 . 1 . 1，而 I S P路由器接口则使用 I P地址 1 7 1 . 1 0 0 . 1 . 2，而将那些从 1 7 1 . 1 0 0 . 1 . 0 / 2 4开始的其余地址留给 N AT转换。公司希望在路由器上使用必要的命令，以使其 内部用户能够使用 I S P所提供的地址空间中的有效，全局可路由的地址，以访问 I n t e r n e t（见图 8 - 4）。 外部网络 内部网络 客户路由器 提供者的 路由器 图8-4 NAT应用方案：示例1 8.8.1 解决方案 8.8.2 分析 在该方案中定义了用于 N AT的接口。通过将相应的命令放在每个接口下面，指定该接口 是一个 N AT外部接口或内部接口。这是配置 N AT的第一步。如果读者不将接口指定为一个 N AT内部或N AT外部接口，或者指定的不正确，则 N AT就不能正确工作。如果不定义 N AT接 口，N AT根本不工作，并且debug ip nat detail命令也不会输出任何结果。如果读者已定义了所 有其他的N AT命令，但N AT还是不工作，则确认每个接口下面的所放的 N AT命令是否合理。 在每个接口下面定义了合适的 N AT命令之后，就可以定义存放内部全局地址的 N AT池。 我们定义的起始 I P地址是1 7 1 . 1 0 0 . 1 . 3，而结束地址为 1 7 1 . 1 0 0 . 1 . 2 5 4。我们不使用. 1和. 2地址是 因为这两个地址分别用于用户路由器和 I S P路由器。由于这两个地址也与用户路由器上的 E t h e r n e t 1接口所在的子网是同一子网地址，用户路由器将使用自己的 M A C地址回答来自 I S P 路由器的 A R P请求。这允许I S P路由器从N AT池中解析出I P地址，并使用从 N A P池中取出的目 的I P地址将报文发送给用户路由器。 102 C i s c o访问表配置指南 下载 102 C i s c o访问表配置指南 下载 注意，M AT地址池并非必须来自与用户路由器接口上所配置的子网相同。下一个示例显 示了一个类似的配置，其中 N AT池不是该用户路由器地址空间的一部分。 8.9 NAT应用：示例2 在本例中，公司使用一台具有两个接口的路由器，分别是以太网和串行接口。 E t h e r n e t 0 连接到内部网络，而串行接口则通过点到点协议（ P P P）链路连接到 I S P路由器。在内部网络 中，公司使用的地址来自地址空间 1 0 . 0 . 0 . 0 / 2 4，该地址空间在 I n t e r n e t上是不可路由的。公司 自己使用I P地址范围1 7 1 . 1 0 0 . 1 . 0 / 2 4。到I S P的P P P链路使用来自 1 9 8 . 5 0 . 1 . 0 / 3 0子网的地址。公 司希望在路由器上配置合适的命令，以便内部用户可以通过使用有效的、全局可路由的地址 访问I n t e r n e t。这些地址应该是来自 I S P所提供的地址空间 1 7 1 . 1 0 0 . 1 . 0 / 2 4。我们打算与上游的 I S P路由器交换O S P F（开放式最短路径优先）更新信息。从而可以从该路由器接收缺省路由， 并将其通知I S P路由器，该路由正在公司路由器上使用（见图 8 - 5）。 池 串行链接 提供者的路由器 内部网络 用户路由器 图8-5 NAT应用方案：示例2 8.9.1 解决方案1 8.9.2 解决方案2 第 8章 TCP拦截和网络地址转换 103 下载 8.9.3 分析 在解决方案1中，先定义了用于 N AT的接口，并通过将合适的命令放在每个接口下面，来 指定该接口是一个 N AT内部或外部接口。在每个接口下面定义了适当的 N AT命令之后，再定 义内部全局地址所在的 N AT池。定义全局地址的起始 I P地址为 1 7 1 . 1 0 0 . 1 . 1，结束 I P地址为 1 7 1 . 1 0 0 . 1 . 2 5 4。我们使用除. 1和. 2地址之外的所有主机地址，是因为这些主机地址都不用于路 由器接口。通过在 N AT池中使用与用户路由器接口所用子网不同的子网，可以获得一些主机 地址。但这又引入了一个新的问题。 在前一个示例中， I S P路由器直接连接到分配给 N AT池的子网上。这种情况下， I S P路由 器只发出一个 A R P请求，以请求 N AT池中的单个 N AT地址，而用户路由器则使用自己的 M A C 地址来响应，此时工作正常。但是，上游的 I S P路由器并不直接连接到 N AT地址池子网 1 7 1 . 1 0 0 . 1 . 0 / 2 4，所以必须告诉它如何通过路由协议或静态路由的方法到达 N AT池所在的子网。 在解决方案1中，我们启用了O S P F并且为1 7 1 . 1 0 0 . 1 . 0 / 2 4重新分配一个静态路由到 O S P F中。上 游的I S P路由器会接收到该路由，并且将所有目的地址为 N AT池中地址的报文转发到我们的路 由器中。 可选地，I S P可以在其路由器上安装一个静态路由，用来将所有 1 7 1 . 1 0 0 . 1 . 0 / 2 4网络的报文 指向我们的路由器。但是，我们希望：当 N AT池地址不是直接从相连的子网上取出时，能够 显示出路由信息的传播路径。注意，我们将整个 1 7 1 . 1 0 . 1 . 0 / 2 4子网的 N AT地址表置为 n u l l 0。 由于我们要指定 N AT地址表中的某些表项，而非整个 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网，这时路由器并不丢 弃这些报文，而是将它们转发到 N AT表中所定义的内部主机上。 在解决方案 2中，我们使用了另一种方法来通知 I S P路由器有关 N AT池的信息。这种方法 是创建一个闭环（ l o o p b a c k）接口，并给其分配一个 N AT池中的 I P地址。通过将 n e t w o r k 171.100.1.0 0.0.0.255 area 0语句包含在我们的 O S P F路由进程下面，可以将该闭环地址作为 O S P F路由的一部分。注意，我们将 . 1地址从N AT池中删除，而使用主机地址 . 2作为N AT池的 起始地址，这样就减少了 N AT池地址和用于闭环接口上的 I P地址重叠的可能性。另外，我们 在闭环接口下面使用接口命令 ip ospf ntwork point-to-point。一般地，O S P F将闭环接口看成是 一个 O S P F桩（ s t u b）网络，并且将接口的 3 2位表项作为路由，而非整个子网。在本例中， O S P F进程会发送 1 7 2 . 1 0 0 . 1 . 1 / 3 2而非表 1 7 2 . 1 0 0 . 1 . 0 / 2 4。在这种情况下，由于需要将整个 104 C i s c o访问表配置指南 下载 104 C i s c o访问表配置指南 下载 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网信息传送给上游的 I S P路由器，所以该地址转换过程不能工作。 O S P F接口 命令告诉 O S P F传送该接口的路由，就像该网络是点到点网络一样，而不像是一个桩（ s t u b） 网络。这意味着它将通过 O S P F传送整个 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网信息（ ip ospf network point-top o i n t命令在I O S版本11 . 3或更高版本中使用），这两种方法都能正常工作，但使用哪一种则是 读者的偏好问题了。 注意：我们知道一个公司通常会在其路由器和 I S P路由器之间运行边界网关协议 （Border Gateway Protocol, BGP）。在本例中，我们选择了O S P F路由协议，目的是为了 分析ip ospf network point-to-point命令。 8.10 NAT应用：示例3 在本例中，公司与示例 2中的公司相同，但情况稍有不同。这里公司处于 I n t e r n e t环境中， 它决定提供一个能从 I n t e r n e t访问的We b服务器，以便那些浏览 We b的用户能够了解公司。该 服务器位于内部网络中，并且能够从 I n t e r n e t上的主机访问该服务器。这样它将拥有 I P地址 1 0 . 1 . 1 . 1 0 0。由于 We b服务器必须能够通过 I n t e r n e t来访问，所以这个源 I P地址在转发给 I S P路 由器之前，必须被转换成内部全局缓冲池中的地址。我们为公司 We b服务器选择 1 7 1 . 1 0 0 . 1 . 1 0 0作为其转换成的内部全局地址。 如示例2那样，E t h e r n e t 0连接到内部网络，而串行接口则通过 P P P链路连接到I S P路由器。 在内部网络中，公司使用 1 0 . 0 . 0 . 0 / 2 4中的地址，而全局池中的 I P地址范围是 1 7 1 . 1 0 0 . 1 . 0 / 2 4。 在本例中，我们将假定 I S P使用静态路由来找到我们的路由器，其中路由器地址在 1 7 2 . 1 0 0 . 1 . 0 / 2 4地址范围内。并且I S P将该路由传送到I n t e r n e t上（见图8 - 6）。 服务器 内部网络 客户路 由器 串行链接提供者的 路由器 拥有171.100.1.100目的地址的 报文被传输到10.1.1.100 图8-6 NAT应用：示例3 8.10.1 解决方案 第 8章 TCP拦截和网络地址转换 105 下载 8.10.2 分析 如其他示例那样，我们在使用任何其他 N AT命令之前，应先定义 N AT内部和外部接口。 而后需要配置N AT池地址和N AT源列表，以允许能够从池中获得地址。本例与示例 2的不同之 处在于：我们需要为 We b服务器设置I P地址1 7 1 . 1 0 0 . 1 . 1 0 0。另外，必须在内部全局地址和内部 本地地址之间给出静态映射关系。不然的话，就不能保证 N AT表中的 N AT转换会将N AT池中 的特定I P地址映射到 We b服务器。这也意味着无法从 I n t e r n e t上知道应该使用哪个地址才能到 达We b服务器，显然这是毫无用处的。 注意，我们在配置中使用 ip nat inside source static命令，以建立 1 0 . 1 . 1 . 1 0 0和 1 7 1 . 1 0 0 . 1 . 1 0 0之间的静态映射。注意到在本例中 N AT池的语法有些不同。 C i s c o已扩展了 N AT 语法，所以可以拆分 N AT池所用的 I P地址范围。我们定义了两个不同的地址范围：从 1 7 1 . 1 0 0 . 1 . 1到1 7 1 . 1 0 0 . 1 . 9 9，以及从 1 7 1 . 1 0 0 . 1 . 1 0 1到1 7 1 . 1 0 0 . 1 . 2 5 4。所以我们可以将 I P地址 1 7 1 . 1 0 0 . 1 . 1 0 0从N AT池中排除出去，因为我们使用该地址进行静态转换。我们使用 ip nat inside source list命令来定义I P地址，以允许该I P地址从N AT池中获取相应的I P地址。注意，至 此，只使用了标准I P访问表来定义I P地址。也可以使用一个扩展的 I P访问表，在本章后面的示 例中会涉及到。 8.11 NAT应用：示例4 在本例中，公司有一台三端口路由器、一个以太网端口和两个串行端口。每个串行端口 连接到不同的 I S P，而每个 I S P给本公司分配一个独立的 C类地址。 I S P 1为公司分配 1 7 1 . 1 0 0 . 1 . 0 / 2 4；而I S P 2则为公司分配1 9 8 . 5 0 . 1 . 0 / 2 4。公司通过B G P路由协议实现从每个 I S P的 完全路由过程，并且允许路由器将报文转发到具有到达目的地的最佳路由的 I S P上。为了报文 能够从原来发出报文的同一个 I S P路由回来，路由器在发送报文到相应 I S P之前，需要从每个 提供者的地址空间转换外出报文的源 I P地址。发送给 I S P 1路由器的报文，其源地址将被转换 为I S P 1地址空间中的地址；而发送给 I S P 2路由器的报文，其源地址则被转换为 I S P 2地址空间 中的地址。 除了允许内部主机能够从每个相应的提供者地址空间中获得地址，根据所选择的路由器 不同，该公司希望可以从任何一个提供者都能够访问内部的 We b服务器。这样所需的就是将 每个提供者的地址空间中的一个静态 I P地址分配给We b服务器，以便每个提供者都可用于到达 We b服务器的I P地址。换句话说， I S P 1的用户使用来自I S P 1的地址到达We b服务器；而I S P 2的 用户则使用来自 I S P 2的地址到达该服务器。如前面的示例那样，内部 E t h e r n e t使用1 0 . 0 . 0 . 0 / 2 4 地址空间，而 We b服务器的内部本地地址是 1 0 . 1 . 1 . 1 0 0。从I S P 1来看其地址是 1 7 1 . 1 0 0 . 1 . 1 0 0， 而从I S P 2来看则为1 9 8 . 5 0 . 1 . 1 0 0。每个I S P将保证能够使用合适的 D N S表项来将We b服务器名称 106 C i s c o访问表配置指南 下载 106 C i s c o访问表配置指南 下载 解析为每个相应的 I P地址（见图 8 - 7）。 服务器 静态： 静态： 池 池 提供者1的 路由器 客户路 由器 提供者2的 路由器内部网络 图8-7 NAT应用方案：示例4 8.11.1 解决方案 第 8章 TCP拦截和网络地址转换 107 下载 8.11.2 分析 该示例应该是比前面的几个示例要更加复杂些，并且有一些很吸引人的地方。先定义.. N AT内部和外部接口。在本例中，路由器有两条.. I n t e r n e t连接，每条连接分别位于一个串行接 口上，这样我们就需要两个外部接口。接下来是.. N AT池，内部客户使用该池获取内部全局地 址。如前所述，我们有两池地址，每个地址池来自一个提供者。这样我们就创建两个独立的.. N AT池，分别称为.. I S P 1和I S P 2。注意，由于我们使用每个.. N AT池中的。.. 1 0 0来创建We b服务器 的静态N AT映射，每个N AT池都不包含。.. 1 0 0主机。在前面的示例中已经介绍了.. N AT池语句的 语法。 在创建了.. N AT池之后，就需要定义源列表，用以告诉路由器我们允许哪些.. I P地址能够从 池中获取地址。注意，这里使用.. ip nat source route-map命令，而非ip nat source list命令。我们 使用一个路由映射，而不单单使用访问表。这样不仅能够使用.. I P地址来选择.. N AT池，而且还 可以使用诸如下一跳.. I P地址以及路由器的输出接口等此类内容来选择.. N AT池。我们定义了两 个路由映射语句，i s p - 1和i s p - 2。i s p - 1路由映射匹配访问表1和接口serial 0。这意味着如果I P报 文匹配列表1并且目的接口是serial 0，则表明匹配了i s p - 1路由映射。从接口serial 0上离开路由 器的报文流向.. I S P 1，这样就符合了我们的要求。.. i s p - 2路由映射的定义类似。我们的路由器持 有一组来自每个提供者的路由，这将告诉路由器：报文应从哪个接口离开。根据我们的.. B G P 配置，可以从向外的报文中获得一些负载平衡。注意我们定义.. N AT池的方法。.. ip nat inside source route-map语句允许路由器在将报文发送到.. I S P路由器之前，从每个.. I S P地址空间中选择 一个地址。这将会保证当报文返回时，它们将沿着原先离开内部网络时所用的.. I S P返回。通常 每个I S P只将自己地址空间中的.. I P地址通告给其他提供者。来自.. I S P 1的地址空间的报文将流回.. I S P 1；而来自I S P 2地址空间的报文也将流回到.. I S P 2。 配置的最后一步是允许.. I n t e r n e t上的设备访问公司的.. We b服务器。我们需要在一个内部全 局地址和内部本地地址之间建立一个静态的.. N AT映射。但是，这种情况下，我们需要定义两 个映射，分别用于从两个不同的内部全局地址映射到公司的.. We b服务器。该过程的关键是使 用可选的关键字e x t e n d a b l e。.. e x t e n d a b l e关键字告诉路由器将创建一个扩展的.. N AT映射，该映射是从每个内部全局地址 到单一的内部本地地址的映射；并且它不仅使用.. I P地址，而且还使用源和目的端口。对于从.. N AT内部接口流到.. N AT外部接口的报文而言，动态路由映射表将用于创建扩展的转换操作。 如果不使用e x t e n d a b l e关键字，路由器将不会允许我们将多个内部全局地址映射到一个单一的 内部本地地址。.. 8.12 NAT应用：示例5 在本例中，公司使用一台两接口路由器，一个E t h e r n e t和一个串行接口。其中.. E t h e r n e t 0连 接到内部网络，而串行接口则通过.. P P P链路连接到.. I S P路由器。在内部网络中，公司使用.. 1 0 . 0 . 0 . 0 / 2 4地址空间中的地址，该地址在.. I n t e r n e t上不能路由。公司还提供了.. I P地址范围.. 1 7 1 . 1 0 0 . 1 . 0 / 2 4，用以创建全局可访问的.. We b服务器。公司认为他们将有大量的.. We b服务器连 接，但服务器只是一个低端服务器。并且公司并不打算买更多的机器，因为公司已经花费了 大量资金来购买硬件设备。公司希望只使用少数几台服务器，并且对于外界看来应该就像是 108 C i s c o访问表配置指南 下载 108 C i s c o访问表配置指南 下载 一台服务器一样。换句话说，公司希望发送到一个内部全局地址上的报文能被转换成多个内 部本地地址（见图8 - 8）。 服务器 服务器 服务器 内部网络 客户路 由器 提供者的 路由器 拥有171.100.1.100为目的地址 的报文采用轮循的方法发送到 10.1.1.2-10.1.1.4的机器上 图8-8 NAT应用方案：示例5 8.12.1 解决方案 8.12.2 分析 我们先定义用于 N AT的接口，并通过将合适的命令放在每个接口下面，来确定这些接口 是N AT内部接口，还是外部接口。在每个接口下面定义了合适的 N AT命令之后，接着定义 N AT池。在非本例的情况下，N AT池的We b地址标识了公司所有的 We b服务器的内部本地地址。 注意，在本例中我们使用参数 p r e f i x - l e n g t h而非n e t m a s k。值为2 9的p r e f i x - l e n g t h等价于掩码参 数值2 5 5 . 2 5 5 . 2 5 5 . 2 4 8。再注意 r o t a r y关键字的使用。这表明了我们打算使用 r o u n d - r o b i n策略从 N AT池中取出相应的I P地址用于转换进来的I P报文。 在定义了N AT池之后，我们继续定义将从 r o t a r y池中选中的 I P地址。我们定义一个 i n s i d e 第 8章 TCP拦截和网络地址转换 109 下载 destination list语句，而不使用inside source list语句。其中.. inside destination list语句定义了其.. I P的地址匹配访问表.. 1的报文将使用.. r o u n d - r o b i n策略，将其目的地址转换成.. r o t a r y池中定义的 池地址。在这种情况下访问表.. 1将匹配一个单一的.. I P地址.. 1 7 1 . 1 0 0 . 1 . 1 0 0。这样，具有.. 1 7 1 . 1 0 0 . 1 . 1 0 0目的地址的报文会将其目的.. I P地址修改为：路由器使用轮询策略从.. r o t a r y池中所 取出的地址。这允许使用.. 3个内部服务器来接收目的地址为.. 1 7 1 . 1 0 0 . 1 . 1 0 0的向内报文。所有这 三个内部.. We b服务器将分担发送到该单一全局地址上的请求。着重指出的是路由器不会保证 三台We b服务器都是正常的。如果某台服务器故障，路由器仍会向该服务器发送报文。如果 需要功能更完善的解决方案，则.. C i s c o有一种称为本地导向器（.. Local Director）的产品，它可 以用来确定池中的服务器是否正常工作。对本地导向器的讨论已超出了本书所讨论的范围， 不过读者可以查看.. C i s c o文档，或者与本地的供应商联系来获得这方面的更多信息。.. 8.13 NAT应用：示例6 在本例中，公司使用一台两接口路由器，一个是E t h e r n e t，另一个是串行接口。.. E t h e r n e t 0 连接到内部网络，而串行接口则通过.. P P P链路连接到.. I S P路由器。在内部网络中，公司使用.. 1 0 . 0 . 0 . 0 / 2 4地址范围内的地址。公司已从其供应商那里获得了一个单一的全局可路由的.. I P地址.. 1 7 1 . 1 0 0 . 1 . 1，并且该地址用于路由器的串行接口上。公司使用.. PAT将其所有的内部本地地址转 换成单一的内部全局地址.. 1 7 1 . 1 0 0 . 1 . 1。公司希望提供可以从.. I n t e r n e t访问的F T P和We b服务器， 并且对We b服务器的请求应被送到.. We b服务器所在的地址.. 1 0 . 1 . 1 . 1 0 0，而F T P请求则被送到F T P 服务器所在的地址1 0 . 1 . 1 . 1 0 1（见图8 - 9）。 服务器 服务器 内部网络 客户路 由器 串行链接提供者的 路由器 拥有171.100.1.1为目的地址的 报文基于不同的部分被传输 图8-9 NAT应用方案：示例6 8.13.1 解决方案 110 C i s c o访问表配置指南 下载 110 C i s c o访问表配置指南 下载 8.13.2 分析 先定义.. N AT所用的接口，并通过将合适的命令放在每个接口下面来定义接口是.. N AT内部 或外部接口。通常，在定义.. N AT接口之后，就要定义.. N AT池来指定所用的内部全局地址。但 是，在本例中只使用了一个单一的内部全局地址，并且将该单一内部全局地址用于路由器的.. serial 0接口上。由于只有一个单一内部全局地址并且用于路由器自己的接口上，所以我们不 需要定义N AT池。我们只简单地使用示例中所示的.. inside source list语句即可。所定义源列表 使用路由器接口的.. I P地址，并且超载该单一.. I P地址。该命令允许来自.. 1 0 . 0 . 0 . 0 / 2 4网络的内部主 机访问I n t e r n e t。路由器执行.. PAT来创建T C P / U D P端口的N AT映射。完成该步以后，接下来需 要为内部We b和F T P服务器创建静态映射。 由于只有一个单一的内部全局.. I P地址，因此要根据I P地址以及T C P或U D P端口来定义静态 映射。在本例中，将目的地址为.. 1 7 1 . 1 0 0 . 1 . 1和目的T C P端口为8 0的报文地址转换成.. T C P端口8 0 上的1 0 . 1 . 1 . 1 0 0内部主机地址。我们还将目的地址为.. 1 7 1 . 1 0 0 . 1 . 1和目的T C P端口为2 1的报文地 址转换成T C P端口2 1上的1 0 . 1 . 1 . 1 0 1内部主机地址。这样我们就在不同的内部服务器上提供了.. We b和F T P服务，虽然我们只有一个单一的内部全局地址。注意，由于该命令语法允许指定内 部服务器的I P地址和端口，所以可以在内部提供多个.. We b和F T P服务器。例如，可以创建如下 的静态映射： 该转换操作将所有目的地址为.. 1 7 1 . 1 0 0 . 1 . 1且目的端口为2 7的向内报文的地址转换为.. F T P端 口上的地址1 0 . 1 . 1 . 1 0 2。当然，我们必须保证，外部用户能够知道我们的.. F T P服务器使用非标 准的端口，而大多数的.. F T P客户机都提供这一能力。显然公司可以使用各种不同的端口转换方 法来提供服务，即使公司只有一个全局可路由的.. I P地址。这些方法使Cisco NAT的功能更加强 大。..
企业级iptalbes防火墙
Ra_sh的博客
07-02 220
企业级iptalbes防火墙 一、IPtables介绍 Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。主要针对网络访问 iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个代理，将用户的安全设定执行到对应的“安全框架”中，这个“安全框架”才是真正的防火
企业级iptalbes防火墙的使用详解
baidu_38803985的博客
04-04 303
1.IPtables介绍 Iptables(以下简称Iptables)是unix/linux自带的一款优秀且开放源代码的完全自由的基于包过滤(对OSI模型的四层或者是四层以下进行过滤)的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。 iptables其实并不是真正的防火墙，我们可以把他理解为一个客户端的代理，用户是通过iptables这个代理，将用户的...
企业防火墙的基础配置
weixin_33843947的博客
01-31 3718
网络运维 ASA基本配置 实验报告姓名： 王飛 班级： NTD1711 日期：2018年1月30日实验任务：实验拓补图： 实验需求：DMZ 发布Web 服务器，Client3 可以访问Server2使用命令show conn detail 查看Conn表 表分别查看ASA 和AR的 的 路由表配置ACL 禁止Client2 访问Server3...
Linux 环境网络问题 -- Destination unreachable (Host administratively prohibited)
不懒，不写简介
10-23 1850
Destination unreachable (Host administratively prohibited) ICMP
wmic远程执行命令拒绝访问_Apache AXIS远程命令执行Oday漏洞安全预警
weixin_39737240的博客
11-23 676
近日,中睿天下安全团队通过数据监控发现,野外出现APACHE AXIS远程命令执行漏洞,攻击者可以发送精心构造的恶意HTTP-POST请求,获得目标服务器的权限,在未授权的情况下远程执行命令。目前,该漏洞属于Oday ,官方尚未给出任何补丁。危害级别: [高危]漏洞触发条件:Apache AXIS <= 1.4 , AXIS允许远程管理,使用Freemarker插件的情况下存在漏洞;AXIS...
iptables 禁止访问全部URL，开放部分URL
weixin_56793045的博客
11-19 2372
iptables 禁止访问全部URL，开放部分URL 1、禁止访问所有URL iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 443 -j DROP #禁止访问所有https iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --dport 80 -j DROP #禁止访问所有http service iptables save #保存规则永久有效 2、开放指定URL iptables -I OUTPUT -p tcp
网络基本功（十四）：细说诊断工具ping
学习，思考，记录
02-27 2004
转载请在文首保留原文出处：EMC中文支持论坛https://community.emc.com/go/chinese 介绍   ping的工作原理很简单，一台网络设备发送请求等待另一网络设备的回复，并记录下发送时间。接收到回复之后，就可以计算报文传输时间了。只要接收到回复就表示连接是正常的。耗费的时间喻示了路径长度。重复请求响应的一致性也表明了连接质量的可靠性。因此，ping
linux常见防火墙软件
最新发布
06-08
2. firewalld：是Red Hat企业版Linux和CentOS 7中默认的防火墙软件，提供了更加高级的功能，例如区域管理、服务管理、端口管理等。 3. UFW(Uncomplicated Firewall)：是Ubuntu上的一个简单的防火墙工具，它提供了与...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值