Linux防火墙iptables之SNAT与DNAT

目录

SNAT策略及应用

DNAT策略及应用

规则的导出、导入

使用防火墙脚本

 

SNAT策略及应用

SNAT应用环境:局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由)

SNAT原理:源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

SNAT转换前提条件:

1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址

2.Linux网关开启IP路由转发

linux想系统本身是没有转发功能只有路由发送数据l临时打开:

echo 1> / proc/ sys / net/ipv4 /ip_forward或

sysctl -w net.ipv4.ip_forward=1

永久打开:

vim /etc/ sysctl.conf

net.ipv4.ip_forward = 1 #将此行写入配置文件sysctl -p #将取修改后的配置

注:还有一种方式静态路由，这个就比较麻烦

SNAT转换1:固定的公网工P地址:

#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1

iptables -t nat -A POSTROUTING -s 192.168.100.0/24（可换成单独IP） -o（出站） ens37（外网网卡） -j SNAT --to 10.0.0.1 （外网IP）

或

 

iptables -t nat -A POSTROUTING -s 192.168.100.0/24（内网IP） -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10（外网IP或地址池）

 

SNAT转换2:非固定的公网IP地址(共享动态IP地址):

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

 

小知识扩展:

一个IP地址做SNAT转换，一般可以让内网100到200 台主机实现上网。

 

案例：

思路图：

 

 

虚拟机1（网关服务器）：

两个网卡仅主机模式

cp ifcfg-ens33 ifcfg-ens37

 

vim ifcfg-ens33

vim ifcfg-ens37

 

systemctl restart network  重启网卡

ifconfig查看下

 

windows10机器：

仅主机模式

 

ping 192.168.100.100如果不通            在虚拟机1上iptables-F

 

 

虚拟机2：（web服务端）

改成仅主机模式

 

yum install -y httpd

systemctl start httpd

systemctl restart network

ping 网关10.0.0.1应该是能ping通的

 

在网关服务器上

vim /etc/ sysctl.conf

net.ipv4.ip_forward = 1 #将此行写入配置文件sysctl -p #将取修改后的配置

iptables -t nat -A POSTROUTING -s 192.168.100.0/24（可换成单独IP） -o（出站） ens37（外网网卡） -j SNAT --to 10.0.0.1 （外网IP）

SNAT源IP从内网转换成外网IP

 

DNAT原理与应用:

DNAT应用环境:在Internet中发布位于局域网内的服务器

DNAT原理:目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映射。

DNAT转换前提条件:

1.局域网的服务器能够访问Internet

2.网关的外网地址有正确的DNS解析记录

3. Linux网关开启IP路由转发

vim /etc/ sysctl.conf

net.ipv4.ip forward = 1

sysctl -p

DNAT转换1:发布内网的web服务

#把从ens37进来的要访问web服务的数据包目的地址转换为192.168.100.13

iptables -t nat -A PREROUTING -i ens37（入站） -d 10.0.0.1（公网IP） -p tcp --dport 80 -j DNAT --to 192.168.100.13（内网服务器IP）

或

iptables -t nat -A PREROUTING -i ens37（入站） -d 10.0.0.1（公网IP） -p tcp --dport 80（端口） -j DNAT --to-destination192.168.100.13（内网服务器IP）

 

注：默认时80

 

思路图：

 

外网win10机器

模式改成仅主机模式2

 

网关服务器不变

 

内网机器

 

systemctl restart network
systemctl restart httpd

模式调成仅主机模式一

 

 

网关服务器

iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.120

iptables -nL -t nat  查看列表