linux防火墙-2表操作

前面写了一个环境搭建的，下面把拓扑图再拿出来，方便查看。

filter表操作

1.我想禁用PC过来的所有ICMP包（即ping），有两种思路，在进来之前就干掉这个包（在INPUT链上操作），在返回的时候干掉返回包（在OUTPUT链上操作）。

在INTPUT链上操作

iptables -t filter -A INPUT -p ICMP -s 192.168.1.2 -j DROP

或者在OUTPUT链上操作

iptables -t filter -A OUTPUT -p ICMP -d 192.168.1.2 -j DROP

以上就可以拦截从PC出来的ping 包了。就这么简单。
上面两条命令的区别：

INPUT链	OUTPUT链
对源地址进行控制 -s	对目的地址进行控制 -d
在进网关应用层之前就干掉了，节省CPU资源	网关产生的应答包被拦截
一般不要的包都会直接在INPUT链上操作直接丢弃	有时候需要做日志记录，就需要在INPUT链上做日志，在OUTPUT链上丢弃

NAT表操作

操作前说明
默认状态下，linux系统不会转发数据包，也就是说如果想把网卡A收到数据包转到网卡B。不好意思，linux发现不是自己的包，是会直接丢弃的。所以要把转发特性打开。

echo 1 >> /proc/sys/net/ipv4/ip_forward

打开了转发特性后，发现PC可以ping通外网服务器了。

但是现实的需求往往是，需要用NAT转换，把PC的IP地址给隐藏起来。这个时候就要用到SNAT或DNAT了。

关于SNAT和DNAT，网上蛮多解释，但是有时候还是很难理解。我从应用的角度来解释：

SNAT：源地址NAT，就是要把内网（源）的地址转换为外网地址。
目的是一个公网IP同时映射多个私网IP。实现一对多的绑定。实现原理简单的说就是用源端口来做映射。映射关系如下图举例

DNAT：目的地址NAT，为了外网的某一特定数据包转发给内网某一特定主机。

实现SNAT
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE