【Linux】Firewalld&iptables nat转发

1. 背景描述

如上图，A机通过B机跳转至C机，需要在B机上做firewalld或iptables跳转，本文对两种方式分别进行配置。

2.firewalld配置

使用的是centos7，本身不带iptables，所以直接进行firewalld相关配置。

2.1 开启转发功能

调整内核参数

vim /etc/sysctl.conf
net.ipv4.ip_forward=1

使参数生效

sysctl -p

2.2 设置SNAT

B机上配置

firewall-cmd --permanent --direct --passthrough ipv4 -t nat -A POSTROUTING -j SNAT --to-source 20.20.20.1

该条配置完成并重新加载firewalld后，在/etc/firewalld/direct.xml下体现

2.3设置DNAT

B机上配置

firewall-cmd --zone=public --permanent --add-forward-port=port=7300:proto=tcp:toport=7300:toaddr=30.30.30.1

该条配置完成并重新加载firewalld后，在/etc/firewalld/zones/public.xml下体现

2.4加载firewalld

firewall-cmd --reload

2.5一些操作

查看public zone是否开启ip伪装
firewall-cmd --zone=public --query-masquerade --permanent

开启ip伪装
firewall-cmd --zone=public --add-masquerade --permanent

查看部分策略
firewall-cmd --permanent --direct --get-all-passthrough

删除某些策略
firewall-cmd --permanent --direct --remove-passthrough 【这里边加详细参数】
例子：firewall-cmd --permanent --direct --remove-passthrough ipv4 -t nat -A POSTROUTING -j SNAT --to-source 20.20.20.1 

3 iptables配置

3.1 准备工作

3.1.1 关闭firewalld

由于使用的是centos7进行的配置，因此先关闭firewalld服务

systemctl stop firewalld

3.1.2 安装iptables组件

yum install -y iptables
yum install -y iptables-services

3.1.3 开启转发功能

vim /etc/sysctl.conf
net.ipv4.ip_forward=1

使能生效

sysctl -p

3.2 进行配置

3.2.1 开启forward链的转发

首先注意，将/etc/sysconfig/iptables下面的内容进行注释，这个操作注释后意味着开启iptables中forward链表的转发功能

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

3.2.2 配置filter表

在/etc/sysconfig/iptables中的filter表部分，放开7300端口，如下

-A INPUT -p tcp -m state --state NEW -m tcp --dport 7300 -j ACCEPT

3.2.3 配置nat表

在/etc/sysconfig/iptables中 追加nat表的内容，如下

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 7300 -j DNAT --to-destination 192.168.171.7:7300
-A POSTROUTING -p tcp -m tcp --dport 7300 -j SNAT --to-source 192.168.142.200
COMMIT

3.3 完整配置

此时完整的配置文件如下

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 7300 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
###-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
###############
*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 7300 -j DNAT --to-destination 30.30.30.1:7300
-A POSTROUTING -p tcp -m tcp --dport 7300 -j SNAT --to-source 20.20.20.1
COMMIT

4 参考

参考文档见:
firewall实现nat跳转
iptables实现nat跳转