Linux学习100 Linux防火墙nat路由高级实战进阶

一、iptables（3）

　　1、iptables/netfilter网络防火墙

　　　　a、网关

　　　　b、filter表的FORWARD链

　　2、要注意的问题

　　　　a、请求-响应报文均会经由FORWARD链，要注意规则的方向性

　　　　b、如果要启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行

　　3、NAT：Network Address Translation。

　　　　a、请求报文：由管理员定义

　　　　b、响应报文：由NAT的conntrack机制自动实现

　　　　c、请求报文：

　　　　　　（1）、改源地址：SNAT，MASQUERADE

　　　　　　（2）、改目标地址：DNAT

　　　　d、我们的主机接入互联网的时候必然要通过网关来实现，如果这个网关本身在转发报文到互联网上去的时候把报文的源IP地址统统改为网关自己的外网IP地址访问互联网的地址，这样我们互联网上能看到的源地址也只能是网关地址。同理，我们响应报文回来时，既然我们远程主机收到的是我们外网网关的地址ExIP发出来的报文，因此我们的源IP应该是RIP，目标IP为ExIP，当我们ExIP收到RIP发来的报文时他还要转给我们的LIP，因为我们的LIP有很多，那他要发给哪个LIP呢？因此我们的NAT服务器有一个自己的连接追踪表，哪个客户端通过哪个端口访问了外网主机的哪个端口，通过查表他才知道把报文发给哪个LIP。所以报文在真正交由内网主机之前要做地址转换，转换后源IP还是RIP，目标IP为LIP

　　　　　　（1）、因此我们可以发现我们在整个报文传输中无论请求还是响应都改了报文，所不同的是请求报文的IP地址被改的是源地址，而响应报文改的是目标地址，我们通常只关注请求报文，因为响应报文是按照原来的请求报文对应的改过去的。但请求报文是按照我们管理的需要改过去的。响应报文是按照对应需要，整个NAT的工作逻辑转过去的，像这种地址转换我们就称之为SNAT，他的目的是为了隐藏本地IP地址。SNAT一般只在POSTROUTING上做。一般而言不仅仅只是在POSTROUTING链上做。

　　　　　　（2）、我们有时候也需要将服务器隐藏起来，一样的，我们在服务器前端放一个网关，这个网关拥有公网地址ExIP和私网地址，我们服务器就藏在这个网关背后，并且我们在互联网上告诉大家这个ExIP监听有80端口，因此当别人访问ExIP的80端口时很显然需要交给我们本地的80端口进程，但是我们本机其实没有监听这个端口，他也没有提供任何服务，因此收到请求后一看是80端口，这个是网关后面这个服务器提供的，所以他就把目标地址从ExIP改为我们我们后端主机的SIP的地址，这样一来我们的服务器也能隐藏了。与（1）中不同的是（1）中隐藏的是客户端，而此处我们隐藏的是服务端。所以隐藏服务端的意思是我们要代表服务器接收请求的，隐藏客户端表示我们要代表客户端发出请求的。因此此时我们请求时源地址是RIP，目标地址是ExIP，此时我们需要将报文修改，请求以后源地址不变，而目标地址变为了SIP，这就是目标地址转换，而此时我们后端服务器收到请求以后，源IP为RIP，目标IP为SIP，因此其响应时他会直接响应给RIP了。但是因为我们发送请求时源地址是RIP，目标地址是ExIP，因此我们此时响应时源IP也应该改为ExIP。所以我们还得把源地址再改回ExIP，我们这个NAT服务器中依然有一个连接追踪功能的表。因此同理，只有请求报文才是我们管理修改的，而响应报文的地址修改是由NAT连接追踪自动完成的，这种就叫目标地址转换。叫DNAT。我们DNAT应该在PREROUTING上改。

　　　　　　　　假如我们公司网站访问量很大，需要三台服务器来支撑，而我们只有买的起一个公网IP，我们就可以用三台服务器通过DNAT做负载均衡，即我们第一个请求来了就交给第一台服务器，第二个请求来了就交给第二台服务器，后面依次轮询。在LVS负载均衡之前就是用DNAT实现的。