Linux防火墙iptables之SNAT与DNAT

已于 2022-06-02 15:33:50 修改
阅读量243 收藏 1
点赞数
分类专栏： 系统安全及应用 文章标签： linux 服务器 网络
于 2022-05-17 18:30:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_67510296/article/details/124820001
版权

文章目录


引言：局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由

一、SNAT

1.1 SNAT概述

SNAT 应用环境

局域网主机共享单个公网IP地址接入Internet ，私有IP不能在Internet中正常路由
SNAT原理

源地址转换

修改数据包的源地址

SNAT转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认网关地址

Linux网关开启IP路由转发

1.2 开启SNAT的命令

临时打开

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

永久打开

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1				###将此行写入配置文件
 
sysctl -P				                ###读取修改后的配置

1.3 SNAT转换1:固定的公网IP地址

#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                    可换成单独IP   出站外网网卡            外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                     内网IP   出站外网网卡                        外网IP或地址池

1.4 SNAT转换2:非固定的公网IP地址(共享动态IP地址)

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

1.5 SNAT案例

在这里插入图片描述
实验准备

1.web服务器ip：192.168.100.102（nat1）、关闭防火墙和selinux、开启http服务

2.网关服务器内网ip：192.168.100.100（nat1）；外网ip：12.0.0.1（nat2）、关闭防火墙和selinux、开启http服务

3.win7客户端ip：12.0.0.100（nat2）

4.VMware的虚拟网络编辑器中默认nat模式网段：192.168.100.0，nat2模式网段：12.0.0.0
在这里插入图片描述
配置网关服务器（192.168.100.100/12.0.0.1）的相关配置

1.添加两块虚拟网卡，并自定义
在这里插入图片描述
在这里插入图片描述
2.复制并修改ens38网卡

#切换至网卡配置文件所在目录
[root@localhost network-scripts]#cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]#cp ifcfg-ens33 ifcfg-ens38

在这里插入图片描述
3.修改ens33网卡
在这里插入图片描述
4.重启网络，查看配置

systemctl restart network

在这里插入图片描述
配置内网服务器（192.168.100.102）相关配置

1.修改enss网卡模式为仅主机模式
在这里插入图片描述
2.修改ens33网卡
在这里插入图片描述
3.重启网络服务，查看配置
在这里插入图片描述
4.ping网关测试
在这里插入图片描述
配置外网服务器（12.0.0.100）的相关配置

1.修改enss网卡模式为仅主机模式
在这里插入图片描述
2.修改ens33网卡
在这里插入图片描述
3.重启网络服务，查看配置
在这里插入图片描述
4.ping网关测试
在这里插入图片描述
在这里插入图片描述
开启SNAT

[root@localhost network-scripts]#
vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1	                            ###将此行写入配置文件
 
[root@localhost network-scripts]#sysctl -P				###读取修改后的配置

配置网关服务器的iptables规则

1.安装iptables，关闭防火墙和selinux，开启iptables

[root@localhost network-scripts]#yum install -y iptables*
@localhost network-scripts]#systemctl stop firewalld.service 
[root@localhost network-scripts]#setenforce 0
[root@localhost network-scripts]#systemctl start iptables.service

2.查看网关服务器的iptables规则并清除

iptables -nL			###查看规则
iptables -nL -t nat		###查看规则
iptables -F				###清除iptables的规则
iptables -F -t nat		###清除iptables的规则

在这里插入图片描述

###清空规则
iptables -F
 
iptables -F -t nat

添加 SNAT转换∶固定的公网IP地址

[root@localhost yum.repos.d]#iptables -F -t nat
[root@localhost yum.repos.d]#iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 12.0.0.1
[root@localhost yum.repos.d]#iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens38 -j SNAT --to-source 12.0.0.1
[root@localhost yum.repos.d]#iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.100.0/24     0.0.0.0/0            to:12.0.0.1

在这里插入图片描述
在这里插入图片描述
实验内外网访问

#########在外网服务器上
#安装httpd服务
[root@localhost yum.repos.d]# yum install -y httpd
#开启服务
[root@localhost yum.repos.d]# systemctl start httpd
关闭防火墙和selinux
[root@localhost yum.repos.d]# systemctl stop firewalld
[root@localhost yum.repos.d]# setenforce 0
#curl一下
[root@localhost yum.repos.d]# curl 127.0.0.1
#查看一下http访问日志
[root@localhost ~]# tail /var/log/httpd/access_log 
127.0.0.1 - - [02/Nov/2021:17:31:40 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"
 
########在内网服务器上
[root@localhost network-scripts]# curl 12.0.0.100
 
#########在外网服务器上
#查看访问日志，多了刚刚内网访问日志
[root@localhost ~]# tail /var/log/httpd/access_log 
127.0.0.1 - - [02/Nov/2021:17:31:40 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"
12.0.0.1 - - [02/Nov/2021:17:34:14 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"

在这里插入图片描述

二、DNAT

2.1 DNAT应用环境

在Internet中发布位于局域网内的服务器

2.2 DNAT原理

修改数据包的目的地址

2.3 DNAT转换前提条件

1.局域网的服务器能够访问Internet

2.网关的外网地址有正确的DNS解析记录

3.Linux网关开启IP路由转发

vim /etc/sysctl.conf 
net.ipv4.ip_forward = 1 
sysct1 -p

2.4 DNAT转换1∶ 发布内网的Web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.100.102
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 80 -j DNAT --to 192.168.100.102
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 80-j DNAT --to-destination 192.168.100.102
					入站         外网网卡    外网ip							                内网服务器ip

2.5 NAT转换2∶ 发布时修改目标端口

#发布局域网内部的OpenSSH服务器， 外网主机需使用250端口进行连接
iptables-t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp--dport 250-jDNAT --to 192.168.100.102:22

2.6 在内网上配置

#在内网上安装httpd并开启服务
[root@localhost yum.repos.d]# yum install -y httpd
[root@localhost yum.repos.d]# systemctl start httpd
 
#关闭防火墙和selinux
[root@localhost yum.repos.d]# systemctl stop firewalld.service 
[root@localhost yum.repos.d]# setenforce 0

2.7 在网关服务器添加iptables规则

#先清空规则
[root@localhost yum.repos.d]#iptables -F -t nat
#添加规则
[root@localhost yum.repos.d]#iptables -t nat -A PREROUTING -i ens38 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.102
 
#查看规则
[root@localhost yum.repos.d]#iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.1             tcp dpt:80 to:192.168.100.102
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

2.8 测试外网是否能访问内网

#在外网服务器上
[root@localhost ~]# curl 12.0.0.1
 
#在内网服务器上
[root@localhost yum.repos.d]# tail /etc/httpd/logs/access_log 
127.0.0.1 - - [02/Nov/2021:18:05:31 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"
12.0.0.100 - - [02/Nov/2021:18:19:45 +0800] "GET / HTTP/1.1" 403 4897 "-" "curl/7.29.0"

在这里插入图片描述

三、tcpdump—Linux抓包

tcpdump tcp-i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

1.tcp∶ ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型

2.-i ens33 ∶只抓经过接口ens33的包

3.-t ∶不显示时间戳

4.-s 0 ∶ 抓取数据包时默认抓取长度为68字节。加上-s 0 后可以抓到完整的数据包

5.-c 100 ∶只抓取100个数据包

6.dst port ! 22 ∶不抓取目标端口是22的数据包

7.src net 192.168.1.0/24 ∶数据包的源网络地址为192.168.1.0/24。Net：网段，host：主机

8.-w ./target.cap ∶ 保存成cap文件，方便用ethereal （即wireshark）分析

总结

1.SNAT原理及配置方法
2.DANT原理及配置过程
3.tcpdump—Linux抓包概念

上单carrry
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
08-linux网络管理-iptables基础（四表五链、禁止ping、防火墙规则添加/删除、自建链使用、SNAT\DNAT模式、FTP服务器防火墙规则、防火墙规则备份）
运维玄德公
01-28 1515
1. 概述 1.1 四表 1.2 五链 1.3 四表五链的关系 1.4 使用流程 2. 语法和操作 1.1 语法 1.2 常用操作命令 1.3 基本匹配条件 1.4 基本动作 1.5 语法示例 3. 完整示例 3.1 创建和删除规则 3.2 创建新链并应用 3.3 SNAT模式 3.3 DNAT模式 3.4 FTP服务器防火墙规则
iptables SNAT 之后ping不通解决
dean_gdp的专栏
06-26 5295
iptables -t nat -A POSTROUTING -s 192.168.81.238 -j SNAT --to 192.168.81.245 把本地网卡
Linux防火墙之iptables详解
weixin_47669063的博客
03-08 801
正、方向代理、iptables
Linux防火墙——iptables防火墙四表五链与SNAT和DNAT
不够优秀才会那么依赖其他人，不够成熟才会信任所有耀眼的外衣，不够强大才会浪费时光去迎合他们的玩闹！
03-21 486
这里写目录标题iptables概述四表五链规则链匹配顺序iptables的安装iptables 命令行配置方法常用的控制类型常用的管理选项添加新的规则查看规则列表删除规则列表设置默认策略清空规则规则的匹配iptables语法总结图SNAT原理与应用DNAT原理与应用防火墙规则的备份和还原 iptables概述 Linux系统的防火墙 IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成 主要工作在网络层，针对ip数据包。体现在对包内的ip地址、端口等信息的处理上 net
iptables之SNAT和DNAT
最新发布
01-08
iptables、SNAT和DNAT实验
iptables的SNAT和DNAT地址转换配置.pdf
07-11
iptables的SNAT和DNAT地址转换配置.pdf 学习资料 复习资料 教学资源
IPTABLES、SNAT、DNAT网关策略
05-31
关于拿linux系统当路由器做NAT用的。
Iptables之SNA与DNAT（三）《博雅运维Linux全套笔记》
06-01
Iptables之SNA与DNAT（三）《博雅运维Linux全套笔记》，如何配置snat，dnat，等等
构筑Linux防火墙之IPtables的概念与用法
05-14
实际的操作分为以下几类： <br>◆ DNAT <br>◆ SNAT <br>◆ MASQUERADE <br>DNAT操作主要用在这样一种情况，你有一个合法的IP地址，要把对防火墙的访问 重定向到其他的机子上（比如DMZ）。也就是说，...
iptables防火墙之SNAT与DNAT
weixin_45305723的博客
05-01 2220
1、SNAT策略概述 SNAT策略的典型应用环境 局域网主机共享单个公网IP地址接入Internet SNAT策略的原理 源地址转换，Source Network Address Translation 修改数据包的源地址 2、SNAT工作原理 数据包从内网发送到公网时，SNAT会把数据包的源IP由私网IP转换成公网IP 当响应的数据包从公网发送到内网时，会把数据包的目的IP由公网IP转换为私网IP 3、SNAT转换前提条件 局域网各主机已正确设置IP地址、子网掩码、默认网关地址 Linu
Linux系统之iptables应用SNAT与DNAT
ZHUZIH6的博客
02-19 1861
SNAT与DNAT原理及应用，详细实验过程；对比SNAT与DNAT区别；介绍iptables规则的备份与还原以及使用tcpdump抓包
SNAT源地址转换基本概念以及应用
江晓龙的博客
07-11 2001
所谓的SNAT源地址转换的意思指的是修改数据包中的源地址信息，典型的应用场景就是带动局域网主机上网，如下图所示，公司有很多台电脑，都需要上网，这时就可以在防火墙中配置一个SNAT地址转换，某个网段进入防火墙后通过SNAT修改源地址信息，修改为防火墙的公网地址，由防火墙去互联网环境中请求数据，最后返回给公司电脑，带动局域网上网。SNAT源地址转换的应用场景：SNAT策略只能用在nat表的POSTROUTING链，使用iptables编写SNAT策略时，需要结合–to-source IP地址来指定修改后的源地址
防火墙（二）之SNAT原理与应用(理论，待试验)
Gloom丿郁的博客
01-31 404
SNAT原理与应用： 文章目录SNAT原理与应用：SNAT应用环境:SNAT原理:SNAT转换前提条件:SNAT转换1:SNAT转换2:DNAT原理与应用:DNAT 应用环境:DNAT原理:DNAT转换前提条件:DNAT转换1:DNAT转换2:防火墙规则的备份和还原导出(备份)所有表的规则导入(还原)规则 SNAT应用环境: 局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由) SNAT原理: 修改数据包的源地址。 SNAT转换前提条件: 1.局域网各主机已正确设置
iptables配置——NAT地址转换
热门推荐
知秋一叶
11-29 6万+
iptables nat 原理 同filter表一样，nat表也有三条缺省的"链"(chains)：     PREROUTING:目的DNAT规则   把从外来的访问重定向到其他的机子上，比如内部SERVER，或者DMZ。           因为路由时只检查数据包的目的ip地址，所以必须在路由之前就进行目的PREROUTING DNAT;           系统先P
在防火墙上查询nat转换结果的命令_iptables 防火墙（二） SNAT / DNAT 策略及应用 |（附体系思维导图）...
weixin_39901439的博客
12-01 1572
点击上方“杰哥的IT之旅”，选择“设为星标”干货、福利第一时间送达！今天，公众号留言功能开通啦！| 文末乔迁福利SNAT 策略概述SNAT全称为：Source Network Address Translation 源地址转换SNAT 是 Linux 防火墙的一种地址转换操作，iptables 命令中的一种数据包控制类型；SNAT作用：根据指定条件修改数据包的源 IP 地址。随着 IP ...
iptables防火墙及SNAT和DNAT
微光
07-15 416
每个规则表相当于内核空间的一个容器，根据规则集的不同用途划分为默认的四个表，在每个表容器内又包括不同的规则链，根据处理数据包的不同时机划分为五种链。
删除iptables nat 规则
06-22 1万+
删除iptables nat 规则删除一条nat 规则iptables -t nat  -D POSTROUTING  1让openstack 虚拟机上网的规则iptables -t nat -A POSTROUTING -s 172.28.101.111/255.255.255.0 -o ens33 -j MASQUERADE开启路由转发echo "1" &gt; /proc/sys/net/i...
iptables DNAT详解
韦编二绝
07-22 1万+
文章出处：http://hi.baidu.com/allenspace/blog/item/cbba05f3b41c5dcb0b46e0ef.html/cmtid/4259a264aa35ecfcf636545f   DNAT target     这个target是用来做目的网络地址转换的，就是重写包的目的IP地址。如果一个包被匹配了，那么和它属于同一个流的所有的包都会被自动转换，然后就可
ensp防火墙snat和dnat配置
05-20
SNAT（源地址转换）和DNAT（目的地址转换）是防火墙中常见的功能。它们用于在防火墙上对网络流量进行地址转换，以实现特定的网络需求。 下面是一些简单的SNAT和DNAT配置示例： SNAT配置： 1. 将内部IP地址192.168.1.100转换为外部IP地址202.101.1.100： ``` iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 202.101.1.100 ``` 2. 将所有内部IP地址转换为外部IP地址： ``` iptables -t nat -A POSTROUTING -j SNAT --to-source 202.101.1.100 ``` DNAT配置： 1. 将外部IP地址202.101.1.100的流量转发到内部IP地址192.168.1.100： ``` iptables -t nat -A PREROUTING -d 202.101.1.100 -j DNAT --to-destination 192.168.1.100 ``` 2. 将外部IP地址202.101.1.100的80端口流量转发到内部IP地址192.168.1.100的8080端口： ``` iptables -t nat -A PREROUTING -p tcp -d 202.101.1.100 --dport 80 -j DNAT --to-destination 192.168.1.100:8080 ``` 这些是基本的SNAT和DNAT配置示例，具体配置取决于你的网络需求和防火墙规则。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值