第十九章：iptables高级应用

《第十九章：iptables高级应用》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第十九章:iptables高级应用一、SNAT源地址转换；二、DNATH的地址转换；三、SNAT和DNAT实战案例;一.SNAT源地址转换；1.原理：在路由后链POSTROUTING将内网主机的ip地址转换成外网网卡的ip地址;2.应用场景：共宇内部主机上网，在网关主机上设置；::未作SNAT转换时的情况局域网PC机192.168.1.234Internet中的Web服务器58.63.236.45网关服务器ethO：218.29.30.31ethl：192.168.1.1

2、源地址：192.168.1.234

3、目标

4、地址：58・63・236・45源地址：192.168.1.234目标地址：58.63.236.45HTTP请求路由转发HTTP请求HTTP应答源地址：58.63.236.45目标地址：192.168.1.234■■进行SNAT转换后的情况局域网PC机192.168.1.234Internet中的Web服务器58.63.236.45网关服务器ethO：218.29.30.31ethl：192.168.1.1源地址:192.168.1.234目标地址：58.63.236.45HTTP请求HTTP应答源地址：58.63

5、.236.45目标地址：192.168.1.234路由+sNAT源地址:218.29.30.31目标地址:58.63.236.45HTTP请求HTTP应答源地址：58.63.236.45目标地址：218.29.30.313•设置SNAT：a・设置内外网网卡的网络参数；b.开启路由转发功能；sed-i'/ipforward/s/O/l/g1/etc/sysctl.confsysctl-pb.编写规则；iptables-tnat・lPOSTROUTING-o外网网卡-s内网的网段/24-jSNAT-to-source

6、外网网卡的ip地址##适用于外网ip地址固定的坏境iptables-tnat-IPOSTROUTING-o外网网卡-s内网的网段/24-jMASQUERADE肘适用于网关服务器外网网卡地址不是固定的环境c.做好安全控制：使用FORWARD时机进行控制，严格设置INPUT规则；d.配置客户端网关；二、DNATEI的地址转换：1•原理：在路由前链PREROUTING将来自外网访问网关公网ip及对应端口的H的ip及端口修改为内部服务器的ip及端口，实现发布内网服务器；2.应用场景：发布内网主机到公网:;进行DNAT转换

7、后的情况企业网内的Web服务器192.168.1.6网关服务器ethO：218.29.30.31ethl：192.168.1.1Internet中的客户机173.96.97.98源地址：173.96.97.98源地址:173.96.97.98目标地址：192.168.1.6路目标地址：218.29.30.31rfi◄HTTP请求tn+HTTP请求HTTP应答—►DNHTTP应答-->源地址：192.168.1.6A源地址：218.29.30.31目标地址：173.96.97.98T目标地址：173.96.97.9

8、811.设置DNAT：网关主机上设置a.设置ip地址，开启路由，设置SNAT,保证内部主机和内部服务器可以连接公网；b.编写防火墙规则；iptables-tnat・lPREROUTING・i外网网卡名-d外网网卡的ip地址-ptcp-dport发布的端口-jDNAT-to-destination内网服务器ip地址##将内网服务器发布到网关主机的外网ip地址并对应其端口，后边的端口可以省略；c.外网客户端访问网关外网ip地址进行测试；三、SNAT和DNAT的实战案例：1.需求：共享公网ip上网，发布ftp和http

9、d服务，控制网关安全；2.配置过程：a.配置好ip地址等参数后，开启路由转发功能；b.编写规则：编写SNAT和DNAT规则：[root@lwh~]#/etc/init.d/iptablesstop[root@lwh~]#iptables-tnat-APOSTROUTING-s192.168.100.0/24-oethl-jMASQUERADE[root@lwh~]#iptables-tnat-APREROUTING-d192.168.50.101-iethl・ptcp-mmultiport-dports21,20

10、,40000:45000,80,443-jDNAT-to-destination192.168.100.153编辑网关安全控制规则：[root@lwh~]#iptables-AINPUT-iIo-jACCEPT##允许本地网卡访问[root@lwh~]#iptables-AINPUT-s192.168.100.0/24-iethO-picmp-jACCEPT##允许内网p