详细分析SNAT和DNAT原理与应用

最新推荐文章于 2024-07-28 00:15:00 发布
最新推荐文章于 2024-07-28 00:15:00 发布
阅读量1.4w 收藏 98
点赞数 11
分类专栏： Linux系统 文章标签： 网关 网络 linux iptables 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45551608/article/details/117249462
版权

SNAT原理与应用

一、 SNAT原理的应用

1.1 原因环境和原理

SNAT 应用环境∶局域网主机共享单个公网IP地址接入Internet （私有IP不能在Internet中正常路由）

SNAT原理∶修改数据包的源地址。 SNAT转换前提条件∶

  • 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
  • Linux网关开启IP路由转发

1.2 开启SNAT的命令

1.临时打开∶

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

2.永久打开:

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1				#将此行写入配置文件

sysctl -P				#读取修改后的配置

1.3 SNAT转换

局域网PC封装源、如：目ip（源地址：192.168.100.77，目的地址：172.16.16.101），到达网关路由器，SNAT将源地址转换成唯一的一个公网ip，此时源地址变成了公网ip172.16.16.254（eth0），再把数据包重新封装。当外网服务器收到，进行数据回复的时候。源目对调，源地址是web服务器地址，目标地址是网关地址，找到网关路由之后，在网关路由中会有一个状态记录（局域网内或许不止一台主机访问外网），转发回去。

1.3.1 SNAT转换1∶固定的公网IP地址∶

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -i SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
										内网IP		出站 外网网卡						外网IP或地址池

1.3.2 SNAT实验

在这里插入图片描述

实验准备：

  • web服务器ip：192.168.80.77（nat1）、关闭防火墙和selinux、开启http服务
  • 网关服务器内网ip：192.168.80.100（nat1）；外网ip：12.0.0.1（nat2）、关闭防火墙和selinux、开启http服务
  • win7客户端ip：12.0.0.10（nat2）
  • VMware的虚拟网络编辑器中默认nat模式网段：192.168.80.0，nat2模式网段：12.0.0.0
    在这里插入图片描述

第一步：配置web服务器（192.168.80.77）相关配置

  1. 设置VMnat1
    在这里插入图片描述
  2. 开启虚拟机，配置ip如下
    在这里插入图片描述在这里插入图片描述
  3. 安装httpd服务（本地源和官方在线源都可以）
    在这里插入图片描述
  4. 开启httpd服务，关闭防火墙和selinux
    在这里插入图片描述
    在这里插入图片描述

第二步：配置网关服务器（192.168.80.100/12.0.0.1）的相关配置

  1. 设置网关服务器的网络模式
    在这里插入图片描述

  2. 复制并修改ens37网卡
    在这里插入图片描述
    在这里插入图片描述

  3. 可以看的两个网卡的ip如下
    在这里插入图片描述

  4. 安装httpd服务（本地源和官方在线源都可以）
    在这里插入图片描述

  5. 开启httpd服务，关闭防火墙和selinux
    在这里插入图片描述
    在这里插入图片描述

第三步：配置win10客户端（12.0.0.100）的相关配置

  1. 设置win10的网络模式为nat2
    在这里插入图片描述

  2. 配置ip和网关为下图所示
    在这里插入图片描述
    第四步：网络测试，web服务和win10客户端都可以访问网关服务器的ens33和ens37，但是不能互相访问

  3. web服务器网络测试如下
    在这里插入图片描述

  4. Win7客户端的网络测试如下
    在这里插入图片描述

第五步：网关服务器开启SNAT的命令
在这里插入图片描述

在这里插入图片描述
第六步：使用win10客户端来访问web服务器的阿帕奇网站
在这里插入图片描述
查看web服务器的访问日志，显示访问的ip为win10客户机的ip
在这里插入图片描述

第七步：配置网关服务器的iptables规则

  1. 查看网关服务器的iptables规则并清除
iptables -nL			#查看规则
iptables -nL -t nat		#查看规则
iptables -F				#清除iptables的规则
iptables -F -t nat		#清除iptables的规则

在这里插入图片描述
在这里插入图片描述
2. 添加 SNAT转换∶固定的公网IP地址
在这里插入图片描述
3. 清除记录再次使用Win10客户机进行访问web服务器
在这里插入图片描述
4. 查看web服务器的访问日志，可以看到现在显示的访问ip为网关地址的ip，是我使用iptables配置的ip。

在这里插入图片描述

1.3.3 SNAT转换2： 非固定的公网IP地址 （共享动态IP地址）;

其他设置大致相同，大家可以自己试一下，然后配置的SNAT如下：

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j MASQUERADE

小知识扩展∶ 一个IP地址做SNAT转换，一般可以让内网 100到200 台主机实现上网。

二、 DNAT原理的应用

2.1 DNAT的工作原理

进行DNAT转发的过程如下图：

在这里插入图片描述

2.2 DNAT转换前提条件

  1. 局域网的服务器能够访问Internet
  2. 网关的外网地址有正确的DNS解析记录
  3. Linux网关开启IP路由转发
vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1 
sysct1 -p

2.3 DNAT转换1∶ 发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 80 -j DNAT --to 192.168.80.11
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 80-j DNAT --to-destination 192.168.80.11
							 入站|外网网卡 | 外网ip											内网服务器ip

iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80-j DNAT --to 192.168.80.11-192.168.80.20

2.4 DNAT转换2∶ 发布时修改目标端口

#发布局域网内部的OpenSSH服务器， 外网主机需使用250端口进行连接
iptables-t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 250-jDNAT --to 192.168.80.11:22

#在外网环境中使用SSH测试
ssh -p 250 root@12.0.0.1

yum -y install net-tools 		#若没有 ifconfig 命令可提前使用 yum 进行安装
ifconfig ens33

注意∶ 使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回 小知识扩展∶

  1. 主机型防火墙 主要使用 INPUT、oUTPUT 链， 设置规则时一般要详细的指定到端口
  2. 网络型防火墙 主要使用 FORWARD链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可

2.5 防火墙规则的备份和还原

  1. 导出 （备份）所有表的规则
iptables-save > /opt/ipt.txt
  1. 导入（还原）规则
iptables-restore < /opt/ipt.txt
  1. 将iptables规则文件保存在 /etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则 iptables-save >/etc/sysconfig/iptables
systemctl stop iptables		#停止iptables服务会清空掉所有表的规则 				
systemctl start iptables		#启动iptables服务会自动还原/etc/sysconfig/iptables 中的规则

三、Linux抓包

tcpdump tcp-i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

（1）tcp∶ ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
（2）-i ens33 ∶只抓经过接口ens33的包
（3）-t ∶不显示时间戳
（4）-s 0 ∶ 抓取数据包时默认抓取长度为68字节。加上-s 0 后可以抓到完整的数据包
（5）-c 100 ∶只抓取100个数据包
（6）dst port ! 22 ∶不抓取目标端口是22的数据包
（7）src net 192.168.1.0/24 ∶数据包的源网络地址为192.168.1.0/24。Net：网段，host：主机
（8）-w ./target.cap ∶ 保存成cap文件，方便用ethereal （即wireshark）分析

网络地址转换的两种模式：SNAT和DNAT，网络通信的核心
网络技术联盟站
11-15 2595
SNAT和DNAT是网络地址转换（NAT）的两种主要模式，它们在许多网络环境中都发挥着重要的作用。SNAT主要用于允许内部网络的主机通过一个公网IP地址访问互联网，而DNAT主要用于将外部网络的请求重定向到内部网络的特定主机。尽管SNAT和DNAT都可以提供一定程度的安全性，但它们并不能提供完全的安全保障。因此，我们应该将SNAT和DNAT作为网络安全策略的一部分，与其他安全措施（如防火墙和入侵检测系统）一起使用。
SNAT与DNAT的原理及应用
别来沾边儿
08-05 809
src 192.168.1.2（client） ，dnat 10.14.11.177（firewall），dst 192.168.2.2（http server），添加回环规则后，从src对10.14.11.177进行请求，然后转到dst，随后进行相反操作，最后src客户端收到源为 10.14.11.177，目的为自身的数据包，因此会正确接收。例如回环，就用到了SNAT和DNAT。3 dst进行请求回复，进行pre的反操作，进行源地址的转换： 192.168.2.2》10.14.11.177,......
防火墙 iptables（二）-------------SNAT与DNAT搭建
zzzxxx520369的博客
02-17 1953
内网主机通过网关服务器的SNAT转换实现访问外网不经过nat的地址为PC1（centos1）自己的地址，使用虚拟机环境才会出现这种情况，市场环境是不通的。经过nat之后的地址是公司的公网ip地址，由网关服务器iptables规则SNAT实现。
SNAT 与 DNAT
qq_57093716的博客
02-18 2521
分离解析，你牛！
SNAT和DNAT原理及应用
Stevelu的技术博客
04-24 2711
SNAT策略 应用场景 局域网主机共享单个公网IP地址接入Internet 原理及应用 源地址转换（Source Network Address Translation），修改数据包的源地址 客户端往网关服务器发数据包，通过网关服务器不进行转发，发送至需要访问的服务器，访问后，数据包回来的时候还是私网IP，原来的源IP作为目的IP进行传送，私网IP作为目的地址在互联网中会被丢弃，所以我们需要将IP进行转换，这样就能以公网IP的身份返回 转换前提条件 1.局域网各主机已正确设置IP地址、子网掩..
Linux私房菜—Shell命令（十）SNAT|DNAT|SNAT转换条件|DNAT转换条件
🈚️
05-26 757
Firewalld防火墙1.Firewalld概述2.Firewalid和Iptables的区别 1.Firewalld概述   一款工作在CentOS7网络层的系统默认的防火墙管理工具，它会根据区域进行相应的防护，区域由网卡或接口关联组成[过滤漏斗]每个区域都定义了自己打开或关闭的端口和服务列表   Firewalld和Iptables都是用来管理防火墙的工具(属于用户态)来定义防火墙的各种规则功能，内部结构都指向netfilter网络过滤子系统(属于内核态)来实现包过滤防火墙功能。   Firewall
防火墙SNAT及DNAT介绍
Smile x
05-27 963
一、SNAT原理与应用 1.SNAT应用环境 局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由) 2.SNAT原理 修改数据包的源地址。 3.SNAT转换前提条件: （1）局城网各主机已正确设置IP地址、子网掩码、默认网关地址 （2） Linux网q关开启IP路由转发 #临时打开: echo 1> /proc/sys/net/ipv4/ip_ forward 或 sysctl -w net. ipv4.ip._forward=1 #永久打开: vim
SNAT和DNAT
m0_64651064的博客
02-24 3845
目录 一、SNAT策略及应用 1、SNAT策略的典型应用环境 2、SNAT策略的原理 3.具体实施步骤 二、DNAT策略及应用 1.DNAT原理与应用: 2.DNAT转换前提条件: 一、SNAT策略及应用 1、SNAT策略的典型应用环境 局域网主机共享单个公网IP地址接入Internet 2、SNAT策略的原理 源地址转换，Source Network Address Translation 修改数据包的源地址 SNAT原理与应用 SNAT应用环境;局域
iptables防火墙(二)-SNAT和DNAT原理与应用
Another_Feng的博客
03-19 1098
@TOC SNAT原理与应用： SNAT应用环境 局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由） SNAT原理 修改数据包的源地址。 SNAT转换 SNAT转换前提条件： 局域网各主机已正确设置IP地址、子网掩码、默认网关地址 Linux网关开启IP路由转发 临时打开： echo 1 > /proc/sys/net/ipv4/ip_forward sysctl -w net.ipv4.ip_forward=1 永久打开： vim /etc
【SNAT和DNAT的原理与应用】
DiKL_Y的博客
05-21 3848
SNAT和DNAT实验和抓包
防火墙——SNAT和DNAT策略的原理及应用、防火墙规则的备份、还原和抓包
Linux运维老纪的博客
07-28 1168
Linux 防火墙在很多时候承担着连接企业内、外网的重任，除了提供数据包过滤功能以外，还提供一些基本的网关应用。本章将学习 Linux 防火墙的SNAT和DNAT 策略，分别掌握两个典型的应用：局域网共享一个公网 IP 地址接入 Internet；向 Internet 发布位于内网的应用服务器。本章还将学习防火墙脚本的使用。
SNAT、DNAT的原理及应用
weixin_48861962的博客
09-21 2164
目录 一、 SNAT原理的应用 1.1 原因环境和原理 1.2 开启SNAT的命令 1.临时打开∶ 2.永久打开: 1.3 SNAT转换 1.3.1 SNAT转换1∶固定的公网IP地址∶ 二、 DNAT原理的应用 2.1 DNAT的工作原理 2.2 DNAT转换前提条件 2.3 DNAT转换1∶ 发布内网的Web服务 2.4 DNAT转换2∶ 发布时修改目标端口 2.5 防火墙规则的备份和还原 三、Linux抓包 一、 SNAT原理的应用 1.1 原因环境和原理 SNAT.
SNAT与DNAT
TTSuzuka的博客
11-02 1万+
局域网共享一个公网IP接入lnternel，好处如下保护内网用户安全，因为公网地址总有一些人恶意扫描，而内网地址在公网没有路由所以无法被扫描，能被扫描的只有防火墙这一台，这样就减少了被攻击的可能。Ipv4地址匮乏，很多公司只有一个ipv4地址，但是却有几百个用户需要上网，这个时候就需要使用SNAT。省钱，公网地址付费，使用SNAT只需要一个公网ip就可以满足几百人同时上网。向internel发布内网服务器，在内网中有服务器，如果想让公网用户访问有有两种方法。
iptables DNAT详解
热门推荐
韦编二绝
07-22 1万+
文章出处：http://hi.baidu.com/allenspace/blog/item/cbba05f3b41c5dcb0b46e0ef.html/cmtid/4259a264aa35ecfcf636545f   DNAT target     这个target是用来做目的网络地址转换的，就是重写包的目的IP地址。如果一个包被匹配了，那么和它属于同一个流的所有的包都会被自动转换，然后就可
SNAT和DNAT的应用场景
kklvsports的专栏
10-30 2996
SNAT 源NAT，即对IP头中的源地址进行地址转换，一般是内网地址转为公网地址，主要用于内部主机访问外部网络。外部主机无法访问内网主机。 DNAT目的NAT，即对IP头中的目的地址进行地址转换，一般用于隐藏对外提供服务的网络设备的真实IP，提供服务的网络设备一般位于DMZ区域，外部用户可以通过公网地址访问该服务。 SNAT和DNAT一般在防火墙上开启。 ...
iptables DNAT 与 SNAT 详解
Vic的博客
06-18 1689
DNAT target 这个target是用来做目的网络地址转换的，就是重写包的目的IP地址。如果一个包被匹配了，那么和它属于同一个流的所有的包都会被自动转换，然后就可以被路由到正确的主机或网络。DNAT target是非常有用的。比如，你的web服务器在LAN内部，而且没有可以在Internet上使用的真实IP地址，那就可以使用这个target让防火墙把所有到它自己HTTP端口的包转发给LAN内部真正的web服务器。目的地址也可以是一个范围，这样的话，DNAT会为每一个流随机分配一个地址。...
Linux防火墙之--SNAT和DNAT
qq_51506982的博客
10-07 3791
当内网有多台主机访问外网时，SNAT在转换时会自动分配端口，不同内网主机会通过端口号进行区分。当相应的数据包从公网发送到内网时，会把数据包的目的地址由公网IP转换为私网IP。数据包从内网发送到公网时，SNAT会把数据包的源地址由私网IP转换成公网IP。firewall-cmd --list-all 查看。firewall-cmd --zone=指定区域。添加，浏览器20.0.0.10即可看到是否成功。2.给网关服务器添加一张虚拟网卡。查看区域内允许通过的服务。web端连接客户端测试。做SNAT的地址转换。
SNAT与DNAT的原理和应用
zhouziyu00的博客
05-26 463
SNAT 应用环境：局域网主机共享单个公网IP地址接入网络 原理：修改数据包的源地址 前提条件： 1，局域网各主机已正确设置ip地址，子网掩码，默认网关地址 2，Linux网关开启IP路由转发 临时打开路由转发 echo 1 > /proc/sys/net/ipv4/ip_forward 或是 sysctl -w net.ipv4.ip_forward=1 永久打开路由转发 修改/etc/sysctl.conf文件 net.ipv4.ip_forward=1 #写入 实例转换 内网 用windows
iptables的SNAT和DNAT
最新发布
03-08
<think>好的，我现在需要给用户介绍一下iptables中的SNAT和DNAT。首先，我得回忆一下自己对这两个概念的理解，确保没有混淆。SNAT是源地址转换，DNAT是目的地址转换，对吗？对的，我记得SNAT主要用于当内部网络的主机访问外部网络时，修改源IP地址，通常是用来共享一个公网IP出口。而DNAT则是当外部网络的主机访问某个公网IP的特定端口时，将其转发到内部网络的某个服务器上，比如端口映射。 接下来，我需要考虑用户可能的背景。用户可能对iptables有一定了解，但需要明确区分这两个NAT类型，或者是在配置网络时遇到了问题。需要从基本概念入手，解释两者的用途和典型应用场景，同时给出实际例子，这样用户更容易理解。 需要确认SNAT和DNAT在iptables中的具体应用链。SNAT一般用在POSTROUTING链，而DNAT用在PREROUTING链。这是因为SNAT是在路由之后修改源地址，而DNAT是在路由之前修改目标地址，确保数据包能正确路由到内部主机。 同时，应该提到MASQUERADE，这是SNAT的一种特殊形式，适用于动态IP的情况，比如拨号上网。而DNAT常用于将外部请求转发到内部的Web服务器或SSH服务器。 还要注意语法格式，比如SNAT的--to-source和DNAT的--to-destination，以及相应的端口映射示例。比如，将外部的80端口请求转发到内网服务器的8080端口。 可能会遗漏一些细节，比如conntrack模块的作用，或者需要开启IP转发功能（net.ipv4.ip_forward=1）。这些虽然不是核心概念，但对于实际配置成功很重要，应该提到。 用户可能想知道什么时候用SNAT，什么时候用DNAT，所以需要明确两者的区别：SNAT改的是发出数据包的源地址，DNAT改的是接收数据包的目标地址。典型的SNAT用例是让多个内网设备通过一个公网IP上网，而DNAT用于从外部访问内网服务。 最后，结构要清晰，分点解释，给出示例命令，并总结两者的区别和常见应用场景，这样用户能快速抓住重点。</think>**iptables的SNAT与DNAT详解** **1. 核心概念对比** - **SNAT（Source NAT）** - 作用：修改数据包源地址 - 典型场景：内网设备共享公网IP访问互联网 - 生效阶段：`POSTROUTING`链（路由决策之后） - 特点：需指定固定IP（如 `--to-source 202.96.128.5`） - **DNAT（Destination NAT）** - 作用：修改数据包目标地址 - 典型场景：公网访问内网服务器 - 生效阶段：`PREROUTING`链（路由决策之前） - 特点：支持端口映射（如 `--to-destination 192.168.1.10:8080`） **2. 配置示例** ```bash # SNAT示例（静态IP环境） iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 202.96.128.5 # SNAT动态IP场景（ADSL拨号） iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE # DNAT端口映射（外部80转内部8080） iptables -t nat -A PREROUTING -d 202.96.128.5 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.10:8080 ``` **3. 关键实现原理** - **连接跟踪机制**：依赖`conntrack`模块记录NAT前后的连接状态 - **双向地址转换**：自动处理响应数据包的逆向转换 - **路由决策时机**： - DNAT在路由前修改目标地址，影响后续路由路径 - SNAT在路由后修改源地址，保证出站路径正确 **4. 典型应用场景** - SNAT常见用途： - 企业内网共享上网 - 多服务器负载均衡出口 - 隐藏真实客户端IP - DNAT常见用途： - 家庭宽带映射游戏服务器 - 云服务器端口转发 - 反向代理后端服务 **5. 必要系统配置** ```bash # 启用IP转发（永久生效需修改/etc/sysctl.conf） echo 1 > /proc/sys/net/ipv4/ip_forward ``` **6. 流量路径示意图** ``` 外部访问DNAT流程： 互联网 → 防火墙PREROUTING(DNAT) → 路由决策 → 内网服务器 内部访问SNAT流程： 内网主机 → 路由决策 → 防火墙POSTROUTING(SNAT) → 互联网 ``` **7. 诊断命令** ```bash # 查看NAT表规则 iptables -t nat -nvL --line-numbers # 监控NAT连接状态 conntrack -E ``` **注意**：实际部署时需同步考虑安全策略，建议
评论 9
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

码海小虾米_

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值