iptables防火墙(二)

防火墙(二)

一.SNAT策略

SNAT应用环境：

局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

SNAT原理：

修改数据包的源地址

SNAT转换前提条件：

• 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
• Linux网关开启IP路由转发

1.应用：

临时打开：
echo 1 > /proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip_forward=1

永久打开：
vim /etc/sysctl.conf
net.ipv4.ip_forward=1   ###将此行添加至配置文件中后保存退出
sysctl -p   ###在命令行读取加载修改后的配置

2. SNAT转换1：固定的公网IP地址

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.200
                                             
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source  12.0.0.100-12.0.0.200    
外网IP或地址池                      内网IP网段           出站外网网卡

3.SNAT转换2：非固定的公网IP地址（共享动态IP地址）

iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j MASQUERADE

tips：

一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网

4.示例：

1.准备三台虚拟机分别做：客户端、网关服务器、Web服务器，并全部关闭防火墙和selinux

2.在web服务器上下载httpd服务：yum -y install httpd

开启httpd服务并修改web服务器的IP及网关，因为之前使用源IP地址访问所以需要再重启一下httpd服务

3.在客户端配置

4.网关服务器配置好后：

6.清空所有主机的规则

7.网关服务器：yum -y install iptables*

二.DNAT策略概述

DNAT 应用环境：

在Internet中发布位于局域网内的服务器

DNAT原理：

修改数据包的目的地址

DNAT转换前提条件：

• 局域网的服务器能够访问Internet
• 网关的外网地址有正确的DNS解析记录
• Linux网关开启IP路由转发

1.DNAT转换1：发布内网的Web服务

iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.10            入站外网网卡   外网IP
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.10     
                  内网服务器IP
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.10-192.168.80.20
###把从ens33进来的要访问web服务的数据包目的地址转换为192.168.80.10

2.DNAT转换2：发布时修改目标端口

iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.10:22
###发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接

3.示例

1.准备4台主机并关闭所有防火墙及selinux

2.网关服务器配置

3.服务器端：修改网卡配置并下载httpd服务

4.客户端（两台）

5.网关服务器端

注：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回

tips：

• 主机型防火墙主要使用INPUT、OUTPUT链，设置规则时一般要详细的指定到端口
• 网络型防火墙主要使用FORWARD链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可

三.规则的导出、导出

导出（备份）所有表的规则：iptables-save > /opt/ipt.txt

导入（还原）规则：iptables-restore < /opt/ipt.txt

自动还原：

iptables-save > /etc/sysconfig/iptables
###将iptables规则文件保存在/etc/sysconfig/iptables中，iptables服务启动时会自动还原规则
systemctl stop iptables   ###停止iptables服务会清空掉所有表的规则
systemctl start iptables   ###启动iptables服务会自动还原/etc/sysconfig/iptables中的规则

linux抓包：tcpdump

tcpdump tcp -i ens33 -t -s0 -c 100 and dst port ! 22 and src net 192.168.58.0/24 -w ./target.cap 

字段	说明
tcp	ip icmp arp rarp 和tcp、udp、icmp这些协议选项等都要放到第一个参数的位置，用来过滤数据包的类型
-i ens33	只抓经过接口ens33的包
-t	不显示时间戳
-s0	抓取数据包时默认抓取长度为68字节，加-s0后可以抓到完整的数据包
-c 100	只抓取100个数据包
dst port ！22	不抓取目标端口是22的数据包
src net 192.168.58.0/24	数据包的源网络地址为192.168.58.0/24
-w ./target.cap	保存成cap文件，方便用ethereal（即wireshark）分析