防火墙 iptables（二）-------------SNAT与DNAT搭建

已于 2024-03-18 13:21:35 修改
阅读量1.1k 收藏 16
点赞数 19
文章标签： 服务器 网络 linux
于 2024-02-17 19:26:10 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zzzxxx520369/article/details/136135119
版权

目录

一、SNAT

①SNAT 应用环境:

②SNAT原理:

③SNAT转换前提条件

④搭建SNAT

目的：

拓朴图：

SNAT环境准备

步骤：

首先关闭三台机器的防火墙和防护

①网关服务器：

第一步：先设置网关服务器的ip地址，两张网卡，ens33设置为内网，ens37设置为外网

第二步：开启路由转发功能

②内网客户端(192.168.246.7)

第一步：修改内网服务器的网关ip地址，为网关服务器的ip地址

第二步：开启本机httpd服务，并写上一个测试网页index.html内容为haha

③外网服务器：

第一步：先修改外网服务器的ip地址和网关，都应该是12段的，ip地址是12.0.0.100，网关地址是12.0.0.1

第二步：开启httpd服务

④再次进入网关服务器：

前两步骤参照上文

第三步：设置iptables的转换规则

方法一：已知公网地址

验证:

方法二：未知公网地址

验证：

二、DNAT

①DNAT应用环境:

②DNAT原理:

③DNAT转换前提条件:

④搭建DNAT

拓朴图：

步骤：

前边步骤参照SNAT前3步

④再次进入网关服务器：

一、SNAT

①SNAT 应用环境:

局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)

②SNAT原理:

源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

数据包从内网发送到公网时，SNAT会把数据包的源IP由私网IP转换成公网IP

当响应的数据包从公网发送到内网时，会把数据包的目的IP由公网IP转换为私网IP

③SNAT转换前提条件

  • 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
  • Linux网关开启IP路由转发

linxu系统本身是没有转发功能 只有路由发送数据

④搭建SNAT

目的：

公司内有2台机器，但是只有一个公网ip，利用SNAT技术实现2台私网地址都可以访问公网。

拓朴图：

内网主机通过网关服务器的SNAT转换实现访问外网（公网）

数据流向从内网到外网：内网部分 （源地址是192.168.246.7  目的 地址12.0.0.100）经过网关服务器转化成外网部分 （源地址是 12.0.0.1， 目的 地址是 12.0.0.100）

数据流向从外网到内网：外网部分 （源地址是 12.0.0.100， 目的 地址是 12.0.0.1）经过网关服务器转换在内网部分（源地址是12.0.0.100  目的 地址192.168.246.7）

SNAT环境准备

三台服务器：PC1（centos7-1）客户端、PC2网关服务器(centos7-2)、PC3服务端(centos7-3)

硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡

步骤：

首先关闭三台机器的防火墙和防护
[root@centos1 ~]#systemctl stop firewalld
[root@centos1 ~]#setenforce 0

[root@centos2 ~]#systemctl stop firewalld
[root@centos2 ~]#setenforce 0

[root@centos3 ~]#systemctl stop firewalld
[root@centos3 ~]#setenforce 0
①网关服务器：
第一步：先设置网关服务器的ip地址，两张网卡，ens33设置为内网，ens37设置为外网
先添加网卡


[root@centos2 ~]#cd /etc/sysconfig/network-scripts/
[root@centos2 network-scripts]#ls
ifcfg-ens33  ifdown-ipv6    ifdown-TeamPort  ifup-ippp   ifup-routes       network-functions
ifcfg-lo     ifdown-isdn    ifdown-tunnel    ifup-ipv6   ifup-sit          network-functions-ipv6
ifdown       ifdown-post    ifup             ifup-isdn   ifup-Team
ifdown-bnep  ifdown-ppp     ifup-aliases     ifup-plip   ifup-TeamPort
ifdown-eth   ifdown-routes  ifup-bnep        ifup-plusb  ifup-tunnel
ifdown-ib    ifdown-sit     ifup-eth         ifup-post   ifup-wireless
ifdown-ippp  ifdown-Team    ifup-ib          ifup-ppp    init.ipv6-global
[root@centos2 network-scripts]#cp ifcfg-ens33 ifcfg-ens37
[root@centos2 network-scripts]#vim ifcfg-ens37
[root@centos2 network-scripts]#vim ifcfg-ens37
[root@centos2 network-scripts]#systemctl restart network
[root@centos2 network-scripts]#ip a

第二步：开启路由转发功能

[root@centos2 network-scripts]#sysctl -a|grep ip_forward
net.ipv4.ip_forward = 0
net.ipv4.ip_forward_use_pmtu = 0
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.ens33.stable_secret"
sysctl: reading key "net.ipv6.conf.ens37.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0-nic.stable_secret"
[root@centos2 network-scripts]#vim /etc/sysctl.conf
[root@centos2 network-scripts]#sysctl -p
net.ipv4.ip_forward = 1
[root@centos2 network-scripts]#sysctl -a|grep ip_forward
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_use_pmtu = 0
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.ens33.stable_secret"
sysctl: reading key "net.ipv6.conf.ens37.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0-nic.stable_secret"
②内网客户端(192.168.246.7)
[root@centos1 ~]#rpm -q httpd
未安装软件包 httpd 
[root@centos1 ~]#yum install httpd -y
第一步：修改内网服务器的网关ip地址，为网关服务器的ip地址
[root@centos1 ~]#vim /etc/sysconfig/network-scripts/ifcfg-ens33
[root@centos1 ~]#systemctl restart network
第二步：开启本机httpd服务，并写上一个测试网页index.html内容为haha
[root@centos1 ~]#systemctl start httpd
[root@centos1 ~]#echo "haha" > /var/www/html/index.html
[root@centos1 ~]#

③外网服务器：
[root@centos1 ~]#rpm -q httpd
未安装软件包 httpd 
[root@centos1 ~]#yum install httpd -y
第一步：先修改外网服务器的ip地址和网关，都应该是12段的，ip地址是12.0.0.100，网关地址是12.0.0.1
[root@centos3 ~]#vim /etc/sysconfig/network-scripts/ifcfg-ens33
[root@centos3 ~]#systemctl restart network

会断，由于是不同网段

第二步：开启httpd服务
[root@centos3 ~]#systemctl start httpd
[root@centos3 ~]#echo "nihao" > /var/www/html/index.html
[root@centos3 ~]#tail -f /var/log/httpd/access_log

检测PC1（centos1）、PC2（centos2）、PC3（centos3）三台机器之间是否互通(使用虚拟机做实验默认是互通的，是由于处在同一环境中，生产环境内网和外网没有SNAT的情况下是不通的)

进入xhell:

再进入虚拟机：

在PC1上curl 服务端ip，然后在服务端实时查看/var/log/httpd/access_log日志。可查看到源ip为PC1的ip，所以是未经过NAT的，生产环境中不可能直接curl通。

④再次进入网关服务器：
前两步骤参照上文
第三步：设置iptables的转换规则
[root@centos2 ~]#iptables -t nat  -A POSTROUTING -s 192.168.246.0/24 -o ens37 -j SNAT --to 12.0.0.1

##表示当内网192.168.246.0网段的主机访问外网的时候，网关服务器会通过SNAT转换源ip地址为网关服务器的公网ip12.0.0.1
方法一：已知公网地址

验证:

在xhell中用内网客户机（192.168.246.7）去访问外网ip地址

再去虚拟机外网服务器查看：centos3

总结

内网主机通过网关服务器的SNAT转换实现访问外网 

不经过nat的地址为PC1（centos1）自己的地址，使用虚拟机环境才会出现这种情况，市场环境是不通的。

经过nat之后的地址是公司的公网ip地址，由网关服务器iptables规则SNAT实现

方法二：未知公网地址

验证：

二、DNAT

①DNAT应用环境:

在Internet中发布位于局域网内的服务器

②DNAT原理:

目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映射。

③DNAT转换前提条件:

DNAT转换前提条件:
1.局域网的服务器能够访问Internet
2.网关的外网地址有正确的DNS解析记录                                                                                           3. Linux网关开启IP路由转发

④搭建DNAT

拓朴图：

外网主机访问网关服务器地址，通过DNAT实现访问内网服务器

数据流向从外网到内网：外网部分 （源地址是 12.0.0.100， 目的 地址是 12.0.0.1:80）经过网关服务器转换在内网部分（源地址是12.0.0.100  目的 地址192.168.246.7:80）

数据流向从内网到外网：内网部分 （源地址是192.168.246.7 :80 目的 地址12.0.0.100）经过网关服务器转化成外网部分 （源地址是 12.0.0.1， 目的 地址是 12.0.0.100）

外网访问内网访问12.0.0.1 相当与访问内网地址192.168.246.7

步骤：

前边步骤参照SNAT前3步
④再次进入网关服务器：

设置iptables的转换规则

[root@centos2 ~]#iptables -t nat -A PREROUTING -i ens37 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.246.7
[root@centos2 ~]#iptables -t nat  -vnL

进入外网服务器进行直接访问，会被拒绝 ， 接下来需要设置防火墙规则（如上图）

进入内网服务器查看验证;

总结

内网主机通过网关服务器的SNAT转换实现访问外网

外网主机访问网关服务器地址，通过DNAT实现访问内网服务器

SNAT  让内网机器，可以访问外网机器（京东，淘宝）

DNAT  将内网服务器的服务，映射在公网地址上，让外网(公网)客户可以访问

白开水~不加糖
关注
  • 19
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables-1.1.9指南中文版（PDF）
10-21
2. **nat表**（NAT）：网络地址转换表，用于修改数据包的源或目标IP地址和端口，通常用于端口转发和SNAT（源NAT）/DNAT（目标NAT）操作。 3. **mangle表**：用于对数据包进行特殊标记或修改，如TOS字段的更改或QoS...
Linux系统之iptables应用SNAT与DNAT
ZHUZIH6的博客
02-19 1900
SNAT与DNAT原理及应用，详细实验过程；对比SNAT与DNAT区别；介绍iptables规则的备份与还原以及使用tcpdump抓包
iptables防火墙（DNAT和SNAT表）
种一颗树最好的时间是十年前，其次是现在！
07-17 1700
内网主机首先经过自己的路由将网关访问外网，然后到达web服务的内部网络中，经过web服务器的内部防火墙服务器，被SNAT将源ip转化成公网ip，在防火墙内部需要进行转换，并且开启转发功能，然后使用公网ip访问web服务器。目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映谢。根据上图原理，需要配置三台主机，一台内网主机，一台web服务器，一台web防火墙服务器。源地址转换，根据指定条件修改数据包的源ip地址，通常被叫做源映射。设置网卡为vmnet1，配置ip地址。.
iptables防火墙之SNAT与DNAT
weixin_67582338的博客
05-12 2973
一、SNAT策略及应用 1.1 SNAT策略概述 1.1.1 SNAT 应用环境 局域网主机共享单个公网IP地址接入Internet （私有IP不能在Internet中正常路由） 1.1.2 SNAT 原理 （1）源地址转换 （2）修改数据包的源IP地址，通常被叫做源映射。 1.1.3 SNAT 转换前提条件 （1）局域网各主机已正确设置IP地址、子网掩码、默认网关地址 （2）Linux网关开启IP路由转发 Linux系统本身是没有转发功能，只有路由发送数据。 1.2 开启SNAT的命
iptables 防火墙（二）——SNAT、DNAT
Katie_ff的博客
06-12 1632
SNAT又称源地址转换。源地址转换是内网地址向外访问时，发起访问的内网ip地址转换为指定的ip地址就是把内网地址转成指定的IP地址，这个iP地址可以访问公网。
Linux防火墙iptables之SNAT与DNAT
sukapulai的博客
04-24 2821
目录 SNAT策略及应用 SNAT策略概述 开启SNAT的命令 临时打开 永久打开 SNAT转换1:固定的公网IP地址 SNAT转换2:非固定的公网IP地址(共享动态IP地址) SNAT案例 实验准备 配置网关服务器（192.168.217.254/12.0.0.254）的相关配置 配置外网服务器（12.0.0.12）的相关配置 修改客户端 ping一下网关和外网服务器 开启ip转发功能 实验内外网访问 配置网关服务器的iptables规则 小知识扩展 DNAT策略与应用
iptables详解——SNAT和DNAT
最新发布
Lqj的博客
07-13 1250
本篇文章主要介绍NAT技术（NAT，Network Address Translation，网络地址转换），以及iptables相关的实操。
linux24-iptables
08-10
- `-j`：指定规则动作，如ACCEPT、DROP、REJECT、MASQUERADE、SNAT、DNAT和LOG等。 例如，如果要禁止所有ICMP（ping）请求，可以使用以下命令： ```bash iptables -A INPUT -p icmp -j DROP ``` 这会拒绝所有进入...
iptables-dnat详
09-20
iptables nat snat dnat 负载均衡
142-Neutron Router 工作原理1
08-08
2. 随后，iptables会设置SNAT（源网络地址转换）规则，使得从实例发出的对外流量看起来像是从`qg-`端口上的浮动IP发出。 3. 同时，DNAT（目的网络地址转换）规则会配置，以便外部返回的流量能够正确地路由回对应的...
PCX Firewall-开源
05-03
PCX防火墙是一个perl脚本，可生成自定义的外壳脚本来启动，停止和重新启动基于IPTables的防火墙。 您可以构建多宿主系统或独立系统。 支持DNAT，SNAT，重定向，阻止等。
iptables之snat
fengcai_ke的博客
07-19 1372
iptables snat
iptables防火墙中的SNAT和DNAT
chenx2022的博客
05-21 1581
∶局域网主机共享单个公网IP地址接入Internet （私有IP不能在Internet中正常路由）∶修改数据包的源地址。∶。
【Linux】iptables 防火墙(SNAT/DNAT)
h15162064289的博客
05-30 1640
DNAT 的全称为Destination Network Address Translation目的地址转换，常用于防火墙中DNAT：目的地址转换的作用是将一组本地内部的地址映射到一组全球地址。通常来说，合法地址的数量比起本地内部的地址数量来要少得多。私网地址只能作为源地址来访问公网IP，而无法作为目标地址被其他主机访问所以DNAT将私网中web服务器映射到公网IP，使其公网IP作为目标地址被公网中主机进行访问DNAT 应用环境：在Internet中发布位于局域网内的服务器。
iptables之SNAT与DNAT
weixin_56270746的博客
05-16 1502
一、SNAT策略及应用 1、SNAT策略概述 SNAT应用环境 局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由） SNAT策略的原理 源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射。 SNAT转换前提条件 局域网各主机已正确设置IP地址、子网掩码、默认路由发送数据 Linux网关开启IP路由转发 1.2、开启SNAT命令 Linux系统本身是没有转发功能 只有路由发送数据 临时开启 echo 1 >/proc/s
CentOS 7 iptables 防火墙 SNAT DNAT 用法
一直被模仿，从未被超越
04-28 4106
iptables 命令基本参数和用法 iptables –[A|I 链] [-i|o 网络接口] [-p 协议] [-s 来源ip/网域] [-d 目标ip/网域] –j[ACCEPT|DROP] 参数 作用 -P 设置默认策略:iptables -P INPUT (DROP|ACCEPT) -F ...............
iptables 防火墙（二）SNAT/DNAT
A1100886的博客
05-22 764
SNAT：内部地址要访问公网上的服务时（如web访问），内部地址会主动发起连接，由路由器或者防火墙上的网关对内部地址做个地址转换，将内部地址的私有IP转换为公网的公有IP，网关的这个地址转换称为SNAT，主要用于内部共享IP访问外部。
Linux：iptables防火墙(SNAT和DNAT）
2301_76875445的博客
05-21 1092
Linux：iptables防火墙（SNAT和DNAT)
iptables配置SNAT实现共享上网
m0_67900727的博客
03-29 2101
设置防火墙规则，允许位于局域网中的主机可以访问外网： 搭建内外网案例环境 配置SNAT策略实现共享上网访问 一：首先搭建内外网案例环境 实验拓扑 image 这里，我们设定192.168.2.0/24网络为外部网络，192.168.4.0/24为内部网络。 现在，在外部网络中有一台web服务器192.168.2.100，因为设置了网关，client已经可以访问此web服务器了。但，如果查看web1的日志就会发现，日志里记录的是192.168.4.10在访问网页。 我们需要实现的效果是，
iptables -t -nat -L含义
06-09
iptables是Linux系统中常用的网络包过滤工具，用于配置和管理系统的防火墙规则。其中，-t参数指定要操作的表，-nat参数表示操作的是网络地址转换表，-L参数表示列出当前表中的规则。因此，iptables -t nat -L命令的含义是列出当前系统中网络地址转换表中的规则，包括DNAT、SNAT等转换规则。这个命令通常被用来查看当前系统中防火墙的规则，以及判断某一个网络地址是否被防火墙阻止或转发。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值