iptables实现NAT

最新推荐文章于 2023-12-02 19:07:29 发布
最新推荐文章于 2023-12-02 19:07:29 发布
阅读量2.7k 收藏 7
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiaochenwj1995/article/details/100612796
版权

NAT(network address translation)网络地址转换。
请求报文：修改源/目标IP，根据定义如何修改
响应报文：修改源/目标IP，根据跟踪机制自动实现
SNAT：source NAT
让本地网络中的主机通过某一特定地址访问外部网络，实现地址伪装，规则定义在NAT表的POSTROUTING, INPUT链上
请求报文：修改源IP
在这里插入图片描述
根据上面的网络拓扑图，我们来实现SNAT的功能。
在客户机上

[root@centos7 network-scripts]# route add default gw 192.168.239.130 dev ens33
[root@centos7 network-scripts]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.239.130 0.0.0.0         UG    0      0        0 ens33
0.0.0.0         192.168.43.1    0.0.0.0         UG    0      0        0 ens37
169.254.0.0     0.0.0.0         255.255.0.0     U     1002   0        0 ens33
169.254.0.0     0.0.0.0         255.255.0.0     U     1003   0        0 ens37
192.168.43.0    0.0.0.0         255.255.255.0   U     0      0        0 ens37
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0
192.168.239.0   0.0.0.0         255.255.255.0   U     0      0        0 ens33

在WEB服务器上，配置web服务，采用虚拟主机的方式实现两个不同的站点。因为采用SNAT模式，服务器上看到访问HHTP服务的源地址是192.168.30.254。响应报文响应的也是这个地址，这两个地址在同一个网段内因此，WEB服务器的网关不用指向网络防火墙。

[root@centos7 conf.d]# echo www.youku.com >/var/www/html/index.html
[root@centos7 conf.d]# echo www.google.com >/var/www/html2/index.html
[root@centos7 conf.d]# cat vhosts.conf 
<virtualhost *:80>
servername www.youku.com
documentroot /var/www/html
</virtualhost>
<virtualhost *:80>
servername www.google.com
documentroot /var/www/html2
</virtualhost>
[root@centos7 ~]# systemctl start httpd

在网络防火墙上

[root@centos7 network-scripts]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.239.130  netmask 255.255.255.0  broadcast 192.168.239.255
        inet6 fe80::20c:29ff:fe65:a88f  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:65:a8:8f  txqueuelen 1000  (Ethernet)
        RX packets 7002  bytes 598227 (584.2 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 4551  bytes 565206 (551.9 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.30.254  netmask 255.255.255.0  broadcast 192.168.30.255
        ether 00:0c:29:65:a8:99  txqueuelen 1000  (Ethernet)
        RX packets 7007  bytes 562236 (549.0 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 556  bytes 53620 (52.3 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

开启路由转发功能

[root@centos7 network-scripts]# echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
[root@centos7 network-scripts]# sysctl -p
net.ipv4.ip_forward = 1

配置防火墙规则，这里使用的是固定IP

[root@centos7 network-scripts]# iptables -t nat -A POSTROUTING -s 192.168.239.0/24 ! -d 192.168.239.0/24 -j SNAT --to-source 192.168.30.254

测试
在客户端curl www.youku.com，然后在WEB服务器端的日志中可以看到访问的源地址是192.168.30.254
客户端

[root@centos7 ~]# curl www.youku.com
www.youku.com

查看WEB服务器的日志

[root@centos7 ~]# tail -f /var/log/httpd/access_log 
192.168.30.254 - - [08/Sep/2019:14:38:42 +0800] "GET / HTTP/1.1" 200 14 "-" "curl/7.29.0"
192.168.30.254 - - [08/Sep/2019:14:39:14 +0800] "-" 408 - "-" "-"
192.168.30.254 - - [08/Sep/2019:15:47:18 +0800] "GET / HTTP/1.1" 200 14 "-" "curl/7.29.0"
192.168.30.254 - - [08/Sep/2019:15:48:12 +0800] "-" 408 - "-" "-"
192.168.30.254 - - [08/Sep/2019:15:48:30 +0800] "GET / HTTP/1.1" 200 14 "-" "curl/7.29.0"
192.168.30.254 - - [08/Sep/2019:15:48:32 +0800] "GET / HTTP/1.1" 200 14 "-" "curl/7.29.0"
192.168.30.254 - - [08/Sep/2019:15:48:33 +0800] "GET / HTTP/1.1" 200 14 "-" "curl/7.29.0"

也可以使用ping命令测试
客户端

[root@centos7 ~]# ping 192.168.30.3
PING 192.168.30.3 (192.168.30.3) 56(84) bytes of data.
64 bytes from 192.168.30.3: icmp_seq=1 ttl=63 time=0.547 ms
64 bytes from 192.168.30.3: icmp_seq=2 ttl=63 time=0.746 ms
64 bytes from 192.168.30.3: icmp_seq=3 ttl=63 time=1.48 ms
64 bytes from 192.168.30.3: icmp_seq=4 ttl=63 time=1.31 ms

在服务器端抓包，也可以发现访问的源地址是192.168.30.254

[root@centos7 ~]# tcpdump -nn icmp -i ens37 
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens37, link-type EN10MB (Ethernet), capture size 262144 bytes
15:52:10.545083 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 1, length 64
15:52:10.545222 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 1, length 64
15:52:11.545745 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 2, length 64
15:52:11.545781 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 2, length 64
15:52:12.547066 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 3, length 64
15:52:12.547142 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 3, length 64
15:52:13.549105 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 4, length 64
15:52:13.549178 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 4, length 64
15:52:14.551434 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 5, length 64
15:52:14.551510 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 5, length 64
15:52:15.552668 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 6, length 64
15:52:15.552743 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 6, length 64
15:52:16.554881 IP 192.168.30.254 > 192.168.30.3: ICMP echo request, id 10769, seq 7, length 64
15:52:16.555005 IP 192.168.30.3 > 192.168.30.254: ICMP echo reply, id 10769, seq 7, length 64

DNAT：destination NAT
把本地网络中的主机上的某服务开放给外部网络访问(发布服务和端口映射)，但隐藏真实IP。作用在NAT表的PREROUTING , OUTPUT链上
请求报文：修改目标IP
在这里插入图片描述
在内网的服务器上

[root@centos7 html]# echo 192.168.239.128 server> index.html 
[root@centos7 html]# cat index.html 
192.168.239.128 server
[root@centos7 html]# systemctl start httpd
[root@centos7 html]# ss -ntl
State       Recv-Q Send-Q                                                Local Address:Port                                                               Peer Address:Port              
LISTEN      0      128                                                               *:111                                                                           *:*                  
LISTEN      0      5                                                     192.168.122.1:53                                                                            *:*                  
LISTEN      0      128                                                               *:22                                                                            *:*                  
LISTEN      0      128                                                       127.0.0.1:631                                                                           *:*                  
LISTEN      0      100                                                       127.0.0.1:25                                                                            *:*                  
LISTEN      0      128                                                       127.0.0.1:6010                                                                          *:*                  
LISTEN      0      128                                                              :::111                                                                          :::*                  
LISTEN      0      128                                                              :::8080                                                                           :::*                  
LISTEN      0      128                                                              :::22                                                                           :::*                  
LISTEN      0      128                                                             ::1:631                                                                          :::*                  
LISTEN      0      100                                                             ::1:25                                                                           :::*                  
LISTEN      0      128                                                             ::1:6010                                                                         :::*                  
LISTEN      0      80                                                               :::3306                                                                         :::*                  
[root@centos7 html]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.239.130 0.0.0.0         UG    0      0        0 ens33
169.254.0.0     0.0.0.0         255.255.0.0     U     1002   0        0 ens33
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0
192.168.239.0   0.0.0.0         255.255.255.0   U     0      0        0 ens33

配置网络防火墙规则

[root@centos7 ~]# iptables -t nat -A PREROUTING -s 0/0 -d 192.168.30.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.239.128:8080

测试，在外网的主机上

[root@centos7 ~]# curl 192.168.30.254:80
192.168.239.128 server
[root@centos7 ~]# curl 192.168.30.254
192.168.239.128 server
[root@centos7 ~]# curl 192.168.30.254
192.168.239.128 server

查看http日志信息，可以看到访问的源地址是192.168.30.3

[root@centos7 html]# tail -f /var/log/httpd/access_log
192.168.30.3 - - [08/Sep/2019:16:55:14 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"
192.168.30.3 - - [08/Sep/2019:16:55:19 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"
192.168.30.3 - - [08/Sep/2019:16:55:24 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"
192.168.30.3 - - [08/Sep/2019:16:55:41 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"
192.168.30.3 - - [08/Sep/2019:16:55:48 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"
192.168.30.3 - - [08/Sep/2019:16:55:49 +0800] "GET / HTTP/1.1" 200 23 "-" "curl/7.29.0"

实现端口转发，
REDIRECT：
NAT表，可用于：PREROUTING OUTPUT 自定义链。通过改变目标IP和端口，将接受的包转发至不同端口
使用：–to-ports port[-port]
这条规则作用在本机上，在192.168.239.128上设置。

root@centos7 html]# iptables -t nat -A PREROUTING -d 192.168.239.128 -p tcp --dport 8080 -j REDIRECT --to-ports 80

测试

[root@centos7 network-scripts]# curl 192.168.239.128:8080
192.168.239.128 server
[root@centos7 network-scripts]# curl 192.168.239.128:8080
192.168.239.128 server
猪中梁朝伟
关注
  • 0
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
linux下设置iptables实现NAT功能
04-14
linux下设置iptables实现NAT功能
linux nat
04-27 237
（一）Iptables 的使用语法在使用iptables的NAT功能时，我们必须在每一条规则中使用"-t nat"显示的指明使用nat表。然后使用以下的选项::1. 对规则的操作加入(append) 一个新规则到一个链 (-A)的最后。在链内某个位置插入(insert) 一个新规则(-I)，通常是插在最前面。在链内某个位置替换(replace) 一条规则 (-R)。在链内某个位置删...
四种NAT的iptables实现
乖乖的专栏
01-05 5323
IPtabels被认为是Linux中实现包过滤功能的第四代应用程序。iptables包含在2.4以后的内核中，它可以实现防火墙、NAT(网络地址翻译)和数据包的分割等功能。本文讲述的是四种NAT的iptables的实现。 四种NAT的iptables实现： 1. Full Cone NAT：所有来自同一个内部Tuple X的请求均被NAT转换至同一个
IPtables之四：NAT原理和配置
weixin_34250709的博客
07-26 504
NAT一般情况下分为SNAT，DNAT和PNAT 此篇主要讲述的是使用iptables配置NAT，所以这3种NAT的区别和应用场景就简单的说明一下 SNAT：源地址转换 目标地址不变，重新改写源地址，并在本机建立NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机 目前大多都是解决内网用户用同一个公网地址上网的情...
iptables之NAT
独孤柯灵的博客
11-24 7358
iptables之NAT
iptables配置NAT实现端口转发与ss命令的讲解
weixin_47680367的博客
08-08 1万+
nat的使用与ss命令
iptables（NAT）
weixin_49888561的博客
06-04 1618
被动模式配置：iptables -t nat -A PREROUTING -p tcp -m multiport --dports 21,8001:9000 -j DNAT --to 192.168.10.13。iptabls -t nat -A PREROUTING -s 180.15.10.10 -p tcp --dport 2221 -j DNAT --to 192.168.10.13:22（端口映射）主动连接是服务器通过20号端口主动向客户端建立连接（SNAT）
iptables 详解(NAT)
changexhao的专栏
10-24 5696
前提基础： 当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。 iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数，iptables这款用户空间的
使用iptables进行NAT转发
热门推荐
boyemachao的专栏
07-01 1万+
SNAT转发（代理内网机器上网） 案例1 内网机器B 通过网关A访问百度，设置如下： 网关A配置两个IP ​ 公网ip IP：192.168.1.189/24 内网IP：1.1.1.1/24 开启路由 写入配置文件永久生效 echo 'net.ipv4.ip_forward=1' > /etc/sysctl.conf 强制刷新配置文件，使其生效 sysctl -p 防火墙设置（主要在POSTROUTING链上设置） 将流经网关的数据包的源地址改为192.168.1.189 i
iptables的代码实现nat
03-21
使用iptables进行设置的基本命令，配置正确的iptables命令
一个iptables的stateless NAT模块实现
12-27
但是想做PAT为何不使用现有的iptables实现呢？它可以自动为你解决元组唯一性问题。不要从概念上分析，事实上，static双向NAT是完全对称的，一对一的 ，也只有在BOX两边的网络在拓扑级别是完全对等的情形下，这种NAT...
Linux下使用Iptables配置NAT防火墙
06-19
Linux下使用Iptables配置NAT防火墙分析防火墙技术原理和防火墙类别，结合校园网实际设计使用Linux下的Iptables 防火墙NAT 方案，能够实现NAT和对网络进行用户管理和信息过滤，并能防范一定的网络攻击手段和防病毒...
iptables.docx
06-11
利用iptables实现局域网设备上网。同时利用iptables实现外网端口映射内网服务。
如何用iptables实现NAT
rheostat的专栏
07-07 966
如何用iptables实现NAT 准备工作：   1)在使用iptables防火墙之前，必须先打开IP转发功能。 # echo “1” > /proc/sys/net/ipv4/ip_forward 2)以上内容（第6步生成的内容）保存到 /etc/sysconfig/iptables文件中。 3）每修改一次iptables文件后，都要重启iptalbes     # s
iptables命令使用详解
a1809032425的博客
10-13 1万+
iptables命令使用详解 参考链接：iptables命令使用详解 - Vathe - 博客园 iptables的主要功能是实现对网络数据包进出设备及转发的控制。当数据包需要进入设备、从设备中流出或者经该设备转发、路由时，都可以使用iptables进行控制。 环境 操作系统：CentOS7.3 ip地址：172.16.55.7 1.iptables中的“四表五链”及“堵通策略” A.“四表”是指，iptables的功能——filter, nat, mangle, raw. 　　　　fi
iptables-nat
wdirdo的博客
10-23 634
iptables-nat ★★★★★ 初识nat,工作中常用nat技术 NAT简介： ◆ NAT: network address translation 网络地址转换 内网地址想与公网地址进行通信时，可使用NAT方法。NAT方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外...
iptables（三）网络地址转换NAT
十五十六
08-29 4804
防火墙上的网络地址转换有3类 SNAT 源地址转换 DNAT 目的地址转换 PNAT 端口转发 SNAT 源地址转换，让本地网络中的主机通过某一特定地址访问外部网络，具体实现一般都在POSTROUTING链上，因为如果数据包是发给本机的。如果在PREROUTING链上做，不就是相当于浪费功夫吗吗，因为最后也是要发给自己，结果在发给自己之前还做了一层转换，所以有点浪费资源了。综合来...
linux防火墙NAT表原理及实操
lcy913的博客
12-02 963
自定义链类似于函数，将类型相同的规则放入一个自定义链中，然后再调用整个规则iptables -N 链名iptables -E 旧链名 新链名删除自定义链需要先使用iptables -F清空规则，再使用iptables -X +自定义链名删除。
grpcio-1.47.0-cp310-cp310-linux_armv7l.whl
最新发布
05-22
Python库是一组预先编写的代码模块，旨在帮助开发者实现特定的编程任务，无需从零开始编写代码。这些库可以包括各种功能，如数学运算、文件操作、数据分析和网络编程等。Python社区提供了大量的第三方库，如NumPy、Pandas和Requests，极大地丰富了Python的应用领域，从数据科学到Web开发。Python库的丰富性是Python成为最受欢迎的编程语言之一的关键原因之一。这些库不仅为初学者提供了快速入门的途径，而且为经验丰富的开发者提供了强大的工具，以高效率、高质量地完成复杂任务。例如，Matplotlib和Seaborn库在数据可视化领域内非常受欢迎，它们提供了广泛的工具和技术，可以创建高度定制化的图表和图形，帮助数据科学家和分析师在数据探索和结果展示中更有效地传达信息。
iptables之NAT设置
06-01
iptables可以通过NAT(Network Address Translation)技术实现网络地址转换，主要包括源地址转换（SNAT）和目标地址转换（DNAT）。SNAT将源IP地址替换为另一个IP地址，而DNAT将目标IP地址替换为另一个IP地址。 下面是使用iptables设置NAT的步骤： 1. 开启IPv4的IP转发功能： ``` sudo sysctl -w net.ipv4.ip_forward=1 ``` 2. 添加SNAT规则： ``` sudo iptables -t nat -A POSTROUTING -s <源IP/子网> -o <出口网卡> -j SNAT --to-source <转换后的源IP> ``` 其中，源IP/子网是指需要修改的源IP地址或者IP地址段，出口网卡是指数据包从哪个网卡出去，转换后的源IP是指将数据包的源IP地址替换为哪个IP地址。 3. 添加DNAT规则： ``` sudo iptables -t nat -A PREROUTING -d <目标IP> -i <入口网卡> -p <协议> --dport <目标端口> -j DNAT --to-destination <转换后的目标IP:端口号> ``` 其中，目标IP是指需要修改的目标IP地址，入口网卡是指数据包从哪个网卡进来，协议是指需要转换的协议类型，目标端口是指需要转换的目标端口，转换后的目标IP是指将数据包的目标IP地址替换为哪个IP地址和端口号。 4. 保存规则： ``` sudo iptables-save > /etc/iptables/rules.v4 ``` 这样，就完成了iptables的NAT设置。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值