把iptables防火墙配置为网关服务器-云栖社区-阿里云

Linux防火墙除了提供数据包过滤功能外，还提供了一些基本的网关应用，本篇博客将介绍iptables防火墙的SNAT和DNAT策略：局域网共享一个公网IP地址接入Internet；向Internet发布位于内网的应用服务器。

SNAT策略

SNAT（Source Network Address Translation，源地址转换）是Linux防火墙的一种地址转换操作，也是iptables命令的一种数据包控制类型，其作用是根据指定的条件修改数据包的源IP地址。处理数据包的时机是在选择路由之后（nat表的POSTROUTING链）进行，将局域网外发数据包的源IP地址（私有地址）修改为网关服务器的外网接口IP地址（公网地址）

案例：使用SNAT策略实现局域网共享一个公网IP地址接入Internet

某公司使用双网卡Linux主机作为网关服务器，其中网卡eth0连接局域网，网卡eth1接入Internet。由于公司只注册了一个公网IP地址，要求合理配置网关策略，使局域网内的PC机可以通过共享的方式访问Internet，如下图所示：

杨书凡04.png

在网关服务器上的操作步骤如下：

1. 打开网关的路由转发功能

（1）如果需要永久打开路由转发功能，可修改sysctl.conf配置文件

[root@localhost ~]# vim /etc/sysctl.conf

net.ipv4.ip_forward = 1                    //将0（关闭）改为1（开启）

[root@localhost ~]# sysctl -p              //读取修改后的配置

（2）如果只希望临时开启路由转发，可执行以下操作

[root@localhost ~]# echo 1 > /proc/sys/net/ipv4/ip_forward

或者

[root@localhost ~]# sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward=1

2. 正确的设置SNAT策略

[root@localhost ~]# iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to-source 218.29.30.31   //设置SNAT策略，将源地址更改为公网IP地址

[root@localhost ~]# iptables -I FORWARD -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT                     //允许为网段192.168.1.0/24转发http流量

[root@localhost ~]# iptables -I FORWARD -d 192.168.1.0/24 -p tcp --sport 80 -j ACCEPT

3. 测试SNAT共享接入结果

上述配置完成后，Internet上的web服务器的防火墙规则必须允许192.168.1.0/24网段流量访问，否则会导致访问失败。并在web服务器上安装httpd服务

（1）在局域网客户机上访问Internet上的web服务器

杨书凡05.png

（2）在Internet上的web服务器上查看日志

杨书凡06.png

4. ADSL宽带接入上网

在某些情况下，网关的外网IP地址可能并不是固定的，如使用ADSL宽带接入时。针对这种情况，iptables命令提供了一个特殊的控制类型，名为MASQUERADE（伪装），自动获取外网接口的IP地址，而无需使用“--to-source”指定固定的IP地址。

[root@localhost ~]# iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

DNAT策略

DNAT（Destination Network Address Translation，目标地址转换）是Linux防火墙的另一种地址转换操作，同样也是iptables命令的一种数据包控制类型，其作用是根据指定的条件修改数据包的目标IP地址和目标端口号，只能用在nat的表的PREROUTING链和OUTPUT链中

案例：使用DNAT策略向Internet发布位于内网的web服务器

某公司使用双网卡Linux主机作为网关服务器，其中网卡eth0连接局域网，网卡eth1接入Internet，需要在Internet中发布位于内网的网站服务器，要求在Internet上访问公司的网站服务器，并使用SSH协议在Internet远程管理网关服务器和网站服务器。网关服务器SSH端口为2345，网站服务器SSH端口为2346

杨书凡09.png

在网关服务器上的操作步骤如下：

1. 打开网关的路由转发功能

[root@localhost ~]# vim /etc/sysctl.conf

net.ipv4.ip_forward = 1                    //将0（关闭）改为1（开启）

[root@localhost ~]# sysctl -p              //读取修改后的配置

2. 正确的设置DNAT策略

[root@localhost ~]# iptables -t nat -I PREROUTING -i eth1 -d 218.29.30.31 -p --dport 80 -j DNAT --to-destination 192.168.1.200   //设置DNAT策略，将目标地址更改为位于内网的网站服务器地址

3. 测试DNAT发布结果
在网站服务器上安装httpd服务，并允许http流量访问，在Internet客户机上访问网站

杨书凡10.png

4. 修改网关服务器SSH端口

[root@localhost ~]# vim /etc/ssh/sshd_config     //添加一个端口2345
#Port 22
Port 2345                  

[root@localhost ~]# service sshd reload
重新载入 sshd：                                            [确定]

5. 在网关服务器上设置DNAT策略

[root@localhost ~]# iptables -t nat -I PREROUTING -i ech1 -d 218.29.30.31 -p tcp --dport 2346 -j DNAT --to-destination 192.168.1.200:22   //将218.29.30.21:2346转换成192.168.1.200:22

6. 在Internet客户机上连接网关服务器、网站服务器

需要在Windows上安装SSHXshell、SecureCRT、Putty等图形工具，我用的是Xshell

杨书凡11.png

杨书凡12.png

杨书凡13.png

本文转自杨书凡 51CTO博客，原文链接：http://blog.51cto.com/yangshufan/2056864，如需转载请自行联系原作者

把iptables防火墙配置为网关服务器

网友评论

相关文章