iptables、共用上網SNAT、埠轉發DNAT

来源:https://www.cnblogs.com/xuxuxuxuxu/archive/2023/09/03/17675867.html
-Advertisement-
Play Games

# iptables、共用上網SNAT、埠轉發DNAT ## 1.防火牆概述 封端⼝,封ip 實現NAT功能 共用上⽹ 端⼝映射(端⼝轉發),ip映射 ## 2.防火牆 ### 2.1防火牆種類以及使用說明 硬體：整個企業入口 軟體：開源軟體 網站內部 封ip iptables 雲防火牆 安全組 ...


iptables、共用上網SNAT、埠轉發DNAT

1.防火牆概述

封端⼝,封ip
實現NAT功能
共用上⽹
端⼝映射(端⼝轉發),ip映射

2.防火牆

2.1防火牆種類以及使用說明

硬體：整個企業入口

軟體：開源軟體 網站內部 封ip
iptables

雲防火牆
安全組
NAT網關
waf應用防火牆

2.2專有名詞

容器、表、鏈、規則

2.3iptables執行過程

1.防⽕牆是層層過濾的，實際是按照配置規則的順序從上到下，從前到後進⾏過濾的。
2.如果匹配成功規則，即明確表示是拒絕(DROP)還是接收(ACCEPT)，數據包就不再向下匹配新的規則。
3.如果規則中沒有明確表明是阻⽌還是通過的，也就是沒有匹配規則，向下進⾏匹配，直到匹配預設規則得到明確的阻⽌還是通過。
4.防⽕牆的預設規則是所有規則都匹配完才會匹配的。

2.4表與鏈

iptables 是 4表伍鏈
4表: filter 表 nat表 raw表 mangle表
伍鏈: INPUT OUTPUT FORWARD PREROUTING POSTROUTING

1.filter表
實現防火牆功能：屏蔽或准許埠ip

2.nat表
實現nat功能：實現共用上網 埠映射和ip映射

2.5環境準備及命令

先關閉防火牆

systmectl stop firewalld
systemctl disable firewalld

1.安裝並啟動

yum install iptables-services
   
systemctl enable iptables
systemctl start iptables

2.設置開機自啟防火牆相關模塊

cat >>/etc/rc.local<<EOF
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state 
EOF

lsmod | egrep 'filter|nat|ipt'

3.查看規則

iptables -nL 預設filter -n不要把端⼝ 或ip反向解析為名字 -L 列出規則

[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

查看指定表的規則 iptables -t nat -nL

[root@localhost ~]# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination

配置filter表規則

-A 添加防火牆規則(尾部追加)
-D 刪除防火牆規則
-I 插入防火牆規則(首部插入)
-F 清空防火牆規則
-X 刪除用戶自定義的鏈
-L 列出添加防火牆規則
-R 替換防火牆規則
-Z 清空防火牆數據表統計信息
-P 設置鏈預設規則
-p 協議 protocal tcp/udp/icmp/all 指定埠的時候需要用到指定協議
--dport 目標埠
-j 滿足條件後的動作 DROP/ACCEPT/REJECT drop 把數據丟掉不會返回給用戶 reject 返回拒絕信息
-s --source 源ip
-d --destination ⽬標ip

1.先清空規則

[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -X
[root@localhost ~]# iptables -Z
[root@localhost ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

2.添加規則

iptables -t filter -I INPUT -p tcp --dport 22122 -j drop

3.刪除規則

iptables -t filter -D INPUT 1  //1是行號 上述添加的規則的行號

1：封ip

1.192.168.70.133機器 ping 192.168.70.136機器

[root@web2 ~]# ping 192.168.70.136
PING 192.168.70.136 (192.168.70.136) 56(84) bytes of data.
64 bytes from 192.168.70.136: icmp_seq=1 ttl=64 time=0.937 ms

2.136機器添加規則

iptables -t filter -I INPUT -s 192.168.70.134 -j DROP

3.刪除規則

iptables -D INPUT 1  //刪除後可以發現又繼續ping了

2：禁止網段訪問指定埠

iptables -t filter -I INPUT -s 192.168.70.0/24 -p tcp --dport 8888 -j DROP

3：只允許指定網段連入

iptables -I INPUT ! -S 192.168.70.0/24 -j DROP

4：指定多埠

iptables  -I INPUT -m multiport -p tcp --dport 80,433 -j DROP  //禁止80和433埠

iptables  -I INPUT -p tcp --dport 1:10 -j DROP  //禁止1-10埠

5：控制是否能ping

iptables -I INPUT -p icmp -j DROP

另一種方法

vim /etc/sysctl.conf  //添加如下一條指令
net.ipv4.icmp_echo_ignore_all = 1

sysctl -p  //生效

6:匹配⽹絡狀態（TCP/IP連接狀態）

NEW：已經或將啟動新的連接
ESTABLISHED：已建⽴的連接
RELATED：正在啟動的新連接INVALID：⾮法或⽆法識別的

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

7:限制併發及速率

-m limit --limit 10/minute #每分鐘只能有10個數據包 每6秒⽣成

8:防⽕牆規則的保存與恢復

iptables-save 預設輸出到屏幕
iptables-restore 加上⽂件
寫⼊到/etc/sysconfig/iptables

iptables-save > /etc/sysconfig/iptables

iptables-restore < /etc/sysconfig/iptables

3.實際⽣產⽤法

iptables -F
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -s 允許的IP地址 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -P INPUT DROP
iptables-save

4.共用上網SNAT

實現：內部網路的伺服器通過可訪問外網的機器訪問到外網

環境準備

server01設置為VMnet2 192.168.100.18
server02設置為NAT 192.168.70.134 網路再添加一個網卡VMnet2 192.168.100.16

1.設置好server01的ip

[root@server01 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33
BOOTPROTO="none"
IPADDR=192.168.100.18
NETMASK=255.255.255.0
NAME="ens33"
DEVICE="ens33"
DNS1=114.114.114.114

2.設置好server02的ip

[root@server02 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:eb:13:88 brd ff:ff:ff:ff:ff:ff
    inet 192.168.70.134/24 brd 192.168.70.255 scope global noprefixroute dynamic ens33
       valid_lft 5270229sec preferred_lft 5270229sec
    inet6 fe80::725c:49ee:6f78:42a0/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: ens37: <BROADCAST,MULTICAST> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
    link/ether 00:0c:29:eb:13:92 brd ff:ff:ff:ff:ff:ff
    
[root@server02 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens37
BOOTPROTO="none"
IPADDR=192.168.100.16
NETMASK=255.255.255.0
NAME="ens37"
DEVICE="ens37"
DNS1=114.114.114.114

[root@server02 ~]# systemctl restart network
[root@server02 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:eb:13:88 brd ff:ff:ff:ff:ff:ff
    inet 192.168.70.134/24 brd 192.168.70.255 scope global noprefixroute dynamic ens33
       valid_lft 5269237sec preferred_lft 5269237sec
    inet6 fe80::725c:49ee:6f78:42a0/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: ens37: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:eb:13:92 brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.16/24 brd 192.168.100.255 scope global noprefixroute ens37
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:feeb:1392/64 scope link 
       valid_lft forever preferred_lft forever

3.測試ping相互下一

[root@server01 ~]# ping 192.168.100.16

4.server02開啟轉發功能

[root@serve02 ~]# echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
[root@serve02 ~]# sysctl -p

5.server02設置iptables

[root@serve02 ~]# iptables  -t  nat  -A POSTROUTING  -s  192.168.100.0/24 -j SNAT --to-source 192.168.70.134

6.測試

[root@server01 ~]# ping baidu.com  //能通則成功了

[root@server02 ~]# iptables  -t  nat  -D POSTROUTING 1  //再試著關閉規則 再試試ping

5.埠轉發DNAT

在上述snat基礎上增加一臺機器server03

1.server02添加prerouting規則

iptables -t nat -A PREROUTING -d 192.168.70.134 -p tcp --dport 9000 -j DNAT --to-destination 192.168.100.18:22

2.server03測試

[root@localhost ~]# ssh 192.168.70.134 -p 9000
[email protected]'s password: 
Last login: Fri Sep  1 20:37:06 2023

[root@localhost ~]# ip a  //查看埠可以發現連上的是server01
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:18:39:18 brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.18/24 brd 192.168.100.255 scope global noprefixroute ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::725c:49ee:6f78:42a0/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 淺談eureka的保護機制
    今天學習了spring cloud 中的註冊中心——eureka，作為微服務的註冊中心，eureka需要對服務的可用狀態進行一個體現。直觀的體現方式就是在eureka啟動後的ui界面上可以看到服務的是否可用。 在某一個時刻下，如果後端某一個服務不可用了，eureka不會立即將其從ui界面上刪除。而是 ...
  • 微服務架構｜go-zero 的自適應熔斷器
    **原文鏈接：** [go-zero 的自適應熔斷器](https://mp.weixin.qq.com/s/r1kTYUK_r-JalvhzAKKQwg) 上篇文章我們介紹了微服務的限流，詳細分析了計數器限流和令牌桶限流演算法，這篇文章來說說熔斷。 熔斷和限流還不太一樣，限流是控制請求速率，只要還能 ...
  • go 1.21：cmp
    ## 標準庫 `cmp` 原文在[這裡](https://pkg.go.dev/cmp) go 1.21 新增 `cmp` 包提供了與有序變臉比較相關的類型和函數。 ### Ordered 定義如下： ```go type Ordered interface { ~int | ~int8 | ~in ...
  • phpstorm 2023 配置 xdebug
    ### 歡迎訪問我的GitHub > 這裡分類和彙總了欣宸的全部原創(含配套源碼)：[https://github.com/zq2599/blog_demos](https://github.com/zq2599/blog_demos) ### 題目描述 - 難度：**困難** - 編程語言：Jav ...
  • 《C++併發編程實戰》讀書筆記(1)：線程管控
    ## 1、線程的基本管控 包含頭文件``後，通過構建`std::thread`對象啟動線程，任何可調用類型都適用於`std::thread`。 ```c++ void do_some_work(); struct BackgroundTask { void operator()() const; } ...
  • 為何每個開發者都在談論Go？
    > 本文深入探討了Go語言的多個關鍵方面，從其簡潔的語法、強大的併發支持到出色的性能優勢，進一步解析了Go在雲原生領域的顯著應用和廣泛的跨平臺支持。文章結構嚴謹，逐一分析了Go語言在現代軟體開發中所占據的重要地位和其背後的技術原理。 > 關註TechLeadCloud，分享互聯網架構、雲服務技術的全 ...
  • 東方博宜OJ1000 熟悉一下Online Judge的環境 C語言版
    java中要實現excel新老格式的轉換比較麻煩，開源庫也沒幾個好用的。用ChatGpt查詢也是推薦直接用POI，下麵是藉助ChatGPT寫出來的代碼，經過小小修改，格式轉換良好，基本能用，就是效率比較低下。將就著用吧，哎！ /** * Excel格式從xls轉換成xlsx格式 * * @param ...
  • WPF 設置圖片圓角的3種方式
    Hi，大家好，我是一路狂奔的烏龜 很高興遇見你~ 我們可能會在睡前下載文件，而不想自己的電腦一整晚都在運行，浪費電也損耗電腦硬體 基於這個日常需求（你怎麼知道我喜歡在半夜下載文件？） 所以我就開發了這款軟體 至今已經修改了三四個版本了，基本滿足要求了就不再更新了 好了， 接下來，，就容我介紹一下這款 ...
一周排行
    -Advertisement-
    Play Games
  • .net下優秀的MQTT框架MQTTnet使用方法，物聯網通訊必備
    MQTTnet 是一個高性能的MQTT類庫，支持.NET Core和.NET Framework。 MQTTnet 原理： MQTTnet 是一個用於.NET的高性能MQTT類庫，實現了MQTT協議的各個層級，包括連接、會話、發佈/訂閱、QoS（服務質量）等。其原理涉及以下關鍵概念： MqttCli ...
  • WPF 綁定binding都有哪些事件
    在WPF中，源屬性（Source Property）指的是提供數據的屬性，通常是數據模型或者其他控制項的屬性，而目標屬性（Target Property）則是數據綁定的目標，通常是綁定到控制項的屬性，例如TextBlock的Text屬性。數據綁定將源屬性的值自動更新到目標屬性中。 主要包含以下幾個事件： ...
  • C#中await /async 的使用場景，優點，使用方法介紹
    async/await 是 C# 中非同步編程的關鍵特性，它使得非同步代碼編寫更為簡單和直觀。下麵深入詳細描述了 async/await 的使用場景、優點以及一些高級使用方法，並提供了相應的實例源代碼。 使用場景： I/O 操作： 非同步編程特別適用於涉及 I/O 操作（如文件讀寫、網路請求等）的場景。在 ...
  • 淺談WPF之控制項拖拽與拖動
    使用過office的visio軟體畫圖的小伙伴都知道，畫圖軟體分為兩部分，左側圖形庫，存放各種圖標，右側是一個畫布，將左側圖形庫的圖標控制項拖拽到右側畫布，就會生成一個新的控制項，並且可以自由拖動。那如何在WPF程式中，實現類似的功能呢？今天就以一個簡單的小例子，簡述如何在WPF中實現控制項的拖拽和拖動，... ...
  • 在winform中使用blazor hybrid構建頁面
    1、Blazor Hybrid簡介 Blazor Hybrid 使開發人員能夠將桌面和移動本機客戶端框架與 .NET 和 Blazor 結合使用。在 Blazor Hybrid 應用中，Razor 組件在設備上是本機運行的。 這些組件通過本地互操作通道呈現到嵌入式 Web 視圖控制項。 組件不在瀏覽器 ...
  • 【scikit-learn基礎】--『數據載入』之樣本生成器
    除了內置的數據集，scikit-learn還提供了隨機樣本的生成器。通過這些生成器函數，可以生成具有特定特性和分佈的隨機數據集，以幫助進行機器學習演算法的研究、測試和比較。 目前，scikit-learn庫（v1.3.0版）中有20個不同的生成樣本的函數。本篇重點介紹其中幾個具有代表性的函數。 1. ...
  • 從0到1，手把手帶你開發截圖工具ScreenCap------002實現設置預設保存的圖片位置
    從0到1，手把手帶你開發截圖工具ScreenCap------002實現通過文件對話框，選擇合適的文件夾，自定義預設的圖片保存位置，簡單易學 ...
  • 快速認識什麼是：Kubernetes
    每次談到容器的時候，除了Docker之外，都會說起 Kubernetes，那麼什麼是 Kubernetes呢？今天就來一起學快速入門一下 Kubernetes 吧！希望本文對您有所幫助。 Kubernetes，一種用於管理和自動化雲中容器化工作負載的工具。 想象一下你有一個管弦樂隊，將每個音樂家視為 ...
  • Windows伺服器，通過Nginx部署VUE+Django前後端分離項目
    目錄 基本說明 安裝 Nginx 部署 VUE 前端 部署 Django 後端 Django admin 靜態文件（CSS，JS等）丟失的問題 總結 1. 基本說明 本文介紹了在 windows 伺服器下，通過 Nginx 部署 VUE + Django 前後端分離項目。本項目前端運行在 80 埠 ...
  • 從0到1，手把手帶你開發截圖工具ScreenCap------003實現最小化程式到托盤運行
    從0到1，手把手帶你開發截圖工具ScreenCap------003實現最小化程式到托盤運行，- 為了方便截圖乾凈，實現最小化程式到托盤運行，簡潔，勿擾，實現最小化程式到托盤運行， 實現托盤菜單功能，實現回顯主窗體， 實現托盤開始截屏， 實現氣泡信息提示，實現托盤程式提示，實現托盤退出程式， 封裝完... ...
所有分類