Ubuntu下利用双网卡实现网关路由和NAT功能

最新推荐文章于 2024-10-15 16:07:57 发布

wyabc1986

最新推荐文章于 2024-10-15 16:07:57 发布

阅读量8k

点赞数

分类专栏： linux 文章标签： ubuntu input output 路由器 dns服务器 ftp服务器

linux 专栏收录该内容

23 篇文章 0 订阅

订阅专栏

环境：Ubuntu 10.10

网卡：一张集成网卡，一张在扩展槽上的独立网卡

主机：Dell vostro 200

用linux主机实现网关有很多好处，比如可以实现更好的NAT功能。一般的路由器（如TP-LINK TL-R478, NETGEAR N300, LINKSYS WRT54GS等，不过强大的路由器除外）只支持简单的虚拟服务器功能，即将外网对网关服务器的请求映射到内网的一台主机上。它的缺点在于外网的请求只能映射到内网一台主机的同名端口上。比如外网的Web请求于202.XX.XX.XXX:80上，路由器可以路由到一台内网的Web服务器上。但是有的情况下，需要内网与外网的端口号不一致，这样路由器就无能为力了。比如内网有多台主机有远程桌面的需求，就不得不将网关的不同的端口映射到内网几个主机的3389端口上。

这种灵活的NAT可以同双网卡的linux主机实现。以下是我的操作步骤，其他的linux系统可能一些配置文件的位置会不同，不过大致的思路是一致的。

STEP 1

为机器装好两块网卡。集成的或是独立的无所谓。编辑/etc/network/interface，如下

auto eth0

iface eth0 inet static

address 192.168.X.XX

netmask 255.255.255.0

auto eth1

iface eth1 inet static

address 202.XX.XX.XXX

gateway 202.XX.XX.XXX

netmask 255.255.255.0

dns-nameservers XX.XX.XX.XX XXX.XX.XX.XX

其中我配置eth0为内网的网关，eth1为外网的接口。注意到内网不用设置gateway。还有外网的设定要由实际情况来设，如DHCP等，实际的DNS服务器等。我这里的情况上静态的IP，还要与MAC绑定，之前MAC没有设好，卡了我很久。

STEP 2

让机器实现简单的转发功能。

首先先让它知道什么包要给哪个网卡发出去，添加两条路由表项：

＃route add -net 192.168.X.0 netmask 255.255.255.0 eth0

＃route add -net 202.XX.XX.0 netmask 255.255.255.0 eth1

意思是192.等等开头的从eth0发出去，202.等等开头的从eth1发出去。

其次要让从一个网卡进来的包可以forward到另一个网卡上去，键入以下命令：

＃echo 1 > /proc/sys/net/ipv4/ip_forward

同时修改/etc/sysctl.conf, 将net.ipv4.ip_forward=1的注释去掉

这几个命令可能写成一个shell script开机运行，当然也可以手工操作。

STEP 3

到上面一步只是实现了路由器的功能，还没有到NAT的实现。linux主机实现NAT是通过iptables命令实现的。这个命令有语法稍显复杂，不过网上有很多讲解的文章。这里只给出个toyexample，是一个shell script，可以设置为登录运行：

#!/bin/bash
# iptables firewall script

#-------------------------------------------------------------------------------

#load module

modprobe ip_tables

modprobe iptable_filtermod

probe iptable_nat

modprobe ip_conntrack

modprobe ip_conntrack_ftpmod

probe ip_nat_ftp

#-------------------------------------------------------------------------------

#flush iptables

iptables -F

iptables -t nat -F

#-------------------------------------------------------------------------------

# firewall

iptables -P INPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT

iptables -A INPUT -s 10.8.0.0/24 -j ACCEPT

iptables -A INPUT -s 219.228.100.0/24 -j ACCEPT

iptables -A INPUT -p 47 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -P OUTPUT ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT

iptables -A OUTPUT -p 47 -j ACCEPT

iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -j ACCEPT

iptables -A OUTPUT -o eth1 -j ACCEPT

#-------------------------------------------------------------------------------

# SNAT

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 202.120.38.191

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to 202.120.38.191

#-------------------------------------------------------------------------------

# DNAT
# for FTP

iptables -A INPUT -p tcp -d 202.120.38.191 --dport 21 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp -d 202.120.38.191 --dport 21 -j DNAT --to 192.168.1.145:21

# for Web Server

iptables -A INPUT -p tcp -d 202.120.38.191 --dport 80 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp -d 202.120.38.191 --dport 80 -j DNAT --to 192.168.1.66:80

#for Remote Desktop

iptables -A INPUT -p tcp -d 202.120.38.191 --dport 3128 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp -d 202.120.38.191 --dport 3128 -j DNAT --to 192.168.1.77:3389

#-------------------------------------------------------------------------------

# echo current config

iptables -L