防火墙 iptables（二）--------------SNAT与DNAT

2024-02-18 09:04
文章标签 防火墙 iptables snat dnat --------------

本文主要是介绍防火墙 iptables（二）--------------SNAT与DNAT，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、SNAT

①SNAT 应用环境:

局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由)

②SNAT原理:

源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

数据包从内网发送到公网时，SNAT会把数据包的源IP由私网IP转换成公网IP

当响应的数据包从公网发送到内网时，会把数据包的目的IP由公网IP转换为私网IP

③SNAT转换前提条件

  • 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
  • Linux网关开启IP路由转发

linxu系统本身是没有转发功能 只有路由发送数据

④实验

实验目的：

公司内有2台机器，但是只有一个公网ip，利用SNAT技术实现2台私网地址都可以访问公网。

实验拓朴图：

内网主机通过网关服务器的SNAT转换实现访问外网

外网主机访问网关服务器地址，通过DNAT实现访问内网服务器

SNAT实验环境准备

三台服务器：PC1（centos7-1）客户端、PC2网关服务器(centos7-2)、PC3服务端(centos7-3)

硬件要求：PC1和PC3均只需一块网卡、PC2需要2块网卡

实验步骤：

首先关闭三台机器的防火墙和防护
[root@centos1 ~]#systemctl stop firewalld
[root@centos1 ~]#setenforce 0[root@centos2 ~]#systemctl stop firewalld
[root@centos2 ~]#setenforce 0[root@centos3 ~]#systemctl stop firewalld
[root@centos3 ~]#setenforce 0
①网关服务器：
第一步：先设置网关服务器的ip地址，两张网卡，ens33设置为内网，ens37设置为外网
先添加网卡


[root@centos2 ~]#cd /etc/sysconfig/network-scripts/
[root@centos2 network-scripts]#ls
ifcfg-ens33  ifdown-ipv6    ifdown-TeamPort  ifup-ippp   ifup-routes       network-functions
ifcfg-lo     ifdown-isdn    ifdown-tunnel    ifup-ipv6   ifup-sit          network-functions-ipv6
ifdown       ifdown-post    ifup             ifup-isdn   ifup-Team
ifdown-bnep  ifdown-ppp     ifup-aliases     ifup-plip   ifup-TeamPort
ifdown-eth   ifdown-routes  ifup-bnep        ifup-plusb  ifup-tunnel
ifdown-ib    ifdown-sit     ifup-eth         ifup-post   ifup-wireless
ifdown-ippp  ifdown-Team    ifup-ib          ifup-ppp    init.ipv6-global
[root@centos2 network-scripts]#cp ifcfg-ens33 ifcfg-ens37
[root@centos2 network-scripts]#vim ifcfg-ens37
[root@centos2 network-scripts]#vim ifcfg-ens37
[root@centos2 network-scripts]#systemctl restart network
[root@centos2 network-scripts]#ip a

第二步：开启路由转发功能

[root@centos2 network-scripts]#sysctl -a|grep ip_forward
net.ipv4.ip_forward = 0
net.ipv4.ip_forward_use_pmtu = 0
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.ens33.stable_secret"
sysctl: reading key "net.ipv6.conf.ens37.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0-nic.stable_secret"
[root@centos2 network-scripts]#vim /etc/sysctl.conf
[root@centos2 network-scripts]#sysctl -p
net.ipv4.ip_forward = 1
[root@centos2 network-scripts]#sysctl -a|grep ip_forward
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_use_pmtu = 0
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.ens33.stable_secret"
sysctl: reading key "net.ipv6.conf.ens37.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0.stable_secret"
sysctl: reading key "net.ipv6.conf.virbr0-nic.stable_secret"
②内网客户端(192.168.246.7)
[root@centos1 ~]#rpm -q httpd
未安装软件包 httpd 
[root@centos1 ~]#yum install httpd -y
第一步：修改内网服务器的网关ip地址，为网关服务器的ip地址
[root@centos1 ~]#vim /etc/sysconfig/network-scripts/ifcfg-ens33
[root@centos1 ~]#systemctl restart network
第二步：开启本机httpd服务，并写上一个测试网页index.html内容为haha
[root@centos1 ~]#systemctl start httpd
[root@centos1 ~]#echo "haha" > /var/www/html/index.html
[root@centos1 ~]#

③外网服务器：
[root@centos1 ~]#rpm -q httpd
未安装软件包 httpd 
[root@centos1 ~]#yum install httpd -y
第一步：先修改外网服务器的ip地址和网关，都应该是12段的，ip地址是12.0.0.100，网关地址是12.0.0.1
[root@centos3 ~]#vim /etc/sysconfig/network-scripts/ifcfg-ens33
[root@centos3 ~]#systemctl restart network

会断，由于是不同网段

第二步：开启httpd服务
[root@centos3 ~]#systemctl start httpd
[root@centos3 ~]#echo "nihao" > /var/www/html/index.html
[root@centos3 ~]#tail -f /var/log/httpd/access_log

检测PC1（centos1）、PC2（centos2）、PC3（centos3）三台机器之间是否互通(使用虚拟机做实验默认是互通的，是由于处在同一环境中，生产环境内网和外网没有SNAT的情况下是不通的)

进入xhell:

再进入虚拟机：

在PC1上curl 服务端ip，然后在服务端实时查看/var/log/httpd/access_log日志。可查看到源ip为PC1的ip，所以是未经过NAT的，生产环境中不可能直接curl通。

④再次进入网关服务器：
前两步骤参照上文
第三步：设置iptables的转换规则
[root@centos2 ~]#iptables -t nat  -A POSTROUTING -s 192.168.246.0/24 -o ens37 -j SNAT --to 12.0.0.1##表示当内网192.168.246.0网段的主机访问外网的时候，网关服务器会通过SNAT转换源ip地址为网关服务器的公网ip12.0.0.1
方法一：已知公网地址

验证:

在xhell中用内网客户机（192.168.246.7）去访问外网ip地址

再去虚拟机外网服务器查看：centos3

总结

内网主机通过网关服务器的SNAT转换实现访问外网 

不经过nat的地址为PC1（centos1）自己的地址，使用虚拟机环境才会出现这种情况，市场环境是不通的。

经过nat之后的地址是公司的公网ip地址，由网关服务器iptables规则SNAT实现

方法二：未知公网地址

验证：

二、DNAT

①DNAT应用环境:

在Internet中发布位于局域网内的服务器

②DNAT原理:

目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映射。

③DNAT转换前提条件:

DNAT转换前提条件:
1.局域网的服务器能够访问Internet
2.网关的外网地址有正确的DNS解析记录                                                                                           3. Linux网关开启IP路由转发

④实验：

实验拓朴图：

外网访问内网访问12.0.0.1 相当与访问192.168.246.7

实验步骤：

前边步骤参照SNAT前3步
④再次进入网关服务器：

设置iptables的转换规则

[root@centos2 ~]#iptables -t nat -A PREROUTING -i ens37 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.246.7
[root@centos2 ~]#iptables -t nat  -vnL

进入外网服务器进行直接访问，会被拒绝 ， 接下来需要设置防火墙规则（如上图）

进入内网服务器查看验证;

总结

内网主机通过网关服务器的SNAT转换实现访问外网

外网主机访问网关服务器地址，通过DNAT实现访问内网服务器

这篇关于防火墙 iptables（二）--------------SNAT与DNAT的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/720673。

相关文章

iptables持久化命令：netfilter-persistent save

iptables持久化命令：netfilter-persistent save

在Linux上，使用netfilter-persistent命令可以保存iptables防火墙规则，确保它们在系统重启后仍然有效。以下是如何使用netfilter-persistent来保存iptables规则的步骤： 打开终端：首先，你需要打开Linux系统的终端。保存规则：使用netfilter-persistent save命令可以保存当前的iptables规则。这个命令会调用所有插件，将
阅读更多...
SNAT的链路流程

SNAT的链路流程

A主机，有公网ip，比如1.1.1.1               有内网ip，比如192.168.1.1 B主机， 有内网ip，比如192.168.1.123 A主机和B主机在同一局域网，用交换机连接。或者在云平台，两个属于同一个vpc下的同一个subnet，也就是在同一个虚拟私人网络下的，同一个子网内。 如何实现B主机通过A主机的公网ip访问公网的服务? 这个就是snat解决的问题
阅读更多...
【linux 防火墙设置】3条命令关闭linux防火墙

【linux 防火墙设置】3条命令关闭linux防火墙

检查防火墙是否开启 firewall-cmd --state runing是防火墙运行中 如果 not runing的话不用次步骤 防火墙配置 说明:防火墙中有一个配置文件,表示当Linux系统启动时防火墙应该如何操作!!! 需求: 告诉linux系统以后开机不需要启动防火墙 命令: systemctl disable firewalld.service 手动关闭防火墙 说明:
阅读更多...
Netfilter学习之NAT类型动态配置（六）全锥型NAT用户空间iptables命令行实现

Netfilter学习之NAT类型动态配置（六）全锥型NAT用户空间iptables命令行实现

本文主要实现全锥型NAT的用户空间iptables命令行扩展的实现，实现思路见上文，具体可以模仿MASQUERADE的源码进行改写。 1.关键部分实现代码   由于fullcone类型并不需要输入参数，因此parse可以为空，print和save也很简单，只需要help和结构注册两部分保证正确即可。   help如下： static void FULLCONE_help(void){
阅读更多...
防火墙 会话表

防火墙 会话表

先查找会话表项，然后再目的 NAT 转换，路由查找，包过滤规则，防火墙策略、应用层匹配规则，审计策略，最后查询源 NAT 从设备转发出去。 DPtech FW1000系列防火墙技术白皮书 - 技术白皮书 - 杭州迪普科技股份有限公司 防火墙通过会话表（Session Table）来跟踪和管理经过防火墙的所有连接会话。会话表项是防火墙用来记录每个连接状态的信息，帮助防火墙在后续的
阅读更多...
防火墙三种模式（路由/透明/混合模式）不支持主备部署 P3

防火墙三种模式（路由/透明/混合模式）不支持主备部署 P3

防火墙的三种部署模式（路由、透明、混合），哪种不支持主备部署 在防火墙的三种部署模式中，透明模式通常不可以支持主备部署，但在某些情况下，配置和实现可能比较复杂。具体是否支持主备部署，取决于防火墙的品牌和型号。 部署模式解释 路由模式： 防火墙作为三层设备，具有IP地址。支持主备部署，适用于大多数网络环境。 透明模式： 防火墙工作在二层，没有IP地址，像交换机一样转发流量。支持主备部署，
阅读更多...
CentOS 6.5和CentOS7 防火墙关闭步骤

CentOS 6.5和CentOS7 防火墙关闭步骤

在关闭防火墙之前，首先要确定Linux环境下安装的系统版本。使用以下命令查看： CentOS6.5和CentOS7关闭防火墙步骤不同 centOS 6.5关闭防火墙步骤 关闭命令：  service iptables stop         永久关闭防火墙：chkconfig iptables off 两个命令同时运行，运行完成后查看防火墙关闭状态         service
阅读更多...
iptables四表五链

iptables四表五链

netfilter/iptables netfilter是Linux内核中的一个框架，工作在网络层，用于处理ip数据包，iptables 则是一个命令行工具，通过与netfilter框架交互，实现对数据包的过滤和转发等操作 常见的UFW防火墙、firewalld防火墙都是基于iptables的，它们提供了更简单的管理iptables的rules的命令 Tables 表 filter 过滤
阅读更多...
Centos 开放端口 查看 防火墙 ping telnet

Centos 开放端口 查看 防火墙 ping telnet

centos中安装telnet yum install telnet   1、开放端口 firewall-cmd --zone=public --add-port=5672/tcp --permanent   # 开放5672端口 firewall-cmd --zone=public --remove-port=5672/tcp --permanent  #关闭5672端口 fir
阅读更多...
Linux运维--Firewall防火墙命令以及规则等详解（全）

Linux运维--Firewall防火墙命令以及规则等详解（全）

Linux运维–Firewall防火墙命令以及规则等详解（全） 在Linux系统中，你可以使用firewalld和iptables来管理和设置防火墙规则。Firewalld是一个动态管理防火墙的工具，而iptables是一个更底层的工具，可以直接配置Linux内核的防火墙规则。 在RHEL 6.9及更早版本中，使用的是iptables作为防火墙管理工具，而在RHEL 7及更新版本中则使
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2