Iptables 防火墙中的SNAT和DNAT

目录

一、SNAT策略概述

1.1 SNAT应用环境

1.2 SNAT原理

1.3 SNAT转换的前提条件

二、SNAT策略的应用

2.1临时打开

2.2 永久打开

2.3SNAT转换1:固定的公网IP地址

2.4SNAT转换2:非固定的公网IP地址(共享动态IP地址)

三、SNAT案例：

四、DNAT策略与应用

4.1DNAT应用环境

4.2DNAT原理

4.3 DNAT转换前提条件

4.4DNAT转换1∶ 发布内网的Web服务

4.5DNAT转换2∶ 发布时修改目标端口

4.6在内网上配置

4.7在网关服务器添加iptables规则

4.8测试外网是否能访问内网

五.tcpdump—Linux抓包

六.总结

 

---

一、SNAT策略概述

SNAT（Source Network Address Translation，源地址转换）是Linux防火墙的一种地址转换操作，也是iptables命令中的一种数据包控制类型，其作用是根据特定的条件修改数据包的源IP地址。

1.1 SNAT应用环境

局域网主机共享单个公网IP地址的Internet（私有IP不能在Internet中正常路由）

1.2 SNAT原理

修改数据包源地址
 

1.3 SNAT转换的前提条件

局域网各主机已正确设置IP地址、子网掩码、默认网关地址
Linux网关开启IP路由转发

二、SNAT策略的应用

2.1临时打开

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

2.2 永久打开

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1				#将此行写入配置文件

sysctl -P				#读取修改后的配置

2.3SNAT转换1:固定的公网IP地址

#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                    可换成单独IP   出站外网网卡            外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                     内网IP   出站外网网卡                    外网IP或地址池

2.4SNAT转换2:非固定的公网IP地址(共享动态IP地址)

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

三、SNAT案例：

实验准备
 web服务器ip：10.0.0.12（Vmnet3）、关闭防火墙和selinux、开启http服务
网关服务器内网ip：192.168.100.100（Vmnet2）；外网ip：10.0.0.1（Vmnet3）、关闭防火墙和selinux、开启http服务
win7客户端ip：192.168.100.110（Vmnet2）
VMware的虚拟网络编辑器中默认Vmne1模式网段：192.168.100.0，Vmnet2模式网段：10.0.0.0

配置网关服务器（192.168.100.100/10.0.0.1）的相关配置