防火墙(二)
一.SNAT策略
SNAT应用环境:
局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由)
SNAT原理:
修改数据包的源地址
SNAT转换前提条件:
- 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
- Linux网关开启IP路由转发
1.应用:
临时打开:
echo 1 > /proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip_forward=1
永久打开:
vim /etc/sysctl.conf
net.ipv4.ip_forward=1 ###将此行添加至配置文件中后保存退出
sysctl -p ###在命令行读取加载修改后的配置
2. SNAT转换1:固定的公网IP地址
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.200
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source 12.0.0.100-12.0.0.200
外网IP或地址池 内网IP网段 出站外网网卡
3.SNAT转换2:非固定的公网IP地址(共享动态IP地址)
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j MASQUERADE
tips:
一个IP地址做SNAT转换,一般可以让内网100到200台主机实现上网
4.示例:
1.准备三台虚拟机分别做:客户端、网关服务器、Web服务器,并全部关闭防火墙和selinux
2.在web服务器上下载httpd服务:yum -y install httpd
开启httpd服务并修改web服务器的IP及网关,因为之前使用源IP地址访问所以需要再重启一下httpd服务
3.在客户端配置
4.网关服务器配置好后:
6.清空所有主机的规则
7.网关服务器:yum -y install iptables*
二.DNAT策略概述
DNAT 应用环境:
在Internet中发布位于局域网内的服务器
DNAT原理:
修改数据包的目的地址
DNAT转换前提条件:
- 局域网的服务器能够访问Internet
- 网关的外网地址有正确的DNS解析记录
- Linux网关开启IP路由转发
1.DNAT转换1:发布内网的Web服务
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.10 入站外网网卡 外网IP
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.10
内网服务器IP
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.80.10-192.168.80.20
###把从ens33进来的要访问web服务的数据包目的地址转换为192.168.80.10
2.DNAT转换2:发布时修改目标端口
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.10:22
###发布局域网内部的OpenSSH服务器,外网主机需使用250端口进行连接
3.示例
1.准备4台主机并关闭所有防火墙及selinux
2.网关服务器配置
3.服务器端:修改网卡配置并下载httpd服务
4.客户端(两台)
5.网关服务器端
注:使用DNAT时,同时还有配合SNAT使用,才能实现响应数据包的正确返回
tips:
- 主机型防火墙主要使用INPUT、OUTPUT链,设置规则时一般要详细的指定到端口
- 网络型防火墙主要使用FORWARD链,设置规则时很少去指定到端口,一般指定到IP地址或者到网段即可
三.规则的导出、导出
导出(备份)所有表的规则:iptables-save > /opt/ipt.txt
导入(还原)规则:iptables-restore < /opt/ipt.txt
自动还原:
iptables-save > /etc/sysconfig/iptables
###将iptables规则文件保存在/etc/sysconfig/iptables中,iptables服务启动时会自动还原规则
systemctl stop iptables ###停止iptables服务会清空掉所有表的规则
systemctl start iptables ###启动iptables服务会自动还原/etc/sysconfig/iptables中的规则
linux抓包:tcpdump
tcpdump tcp -i ens33 -t -s0 -c 100 and dst port ! 22 and src net 192.168.58.0/24 -w ./target.cap
字段 | 说明 |
---|---|
tcp | ip icmp arp rarp 和tcp、udp、icmp这些协议选项等都要放到第一个参数的位置,用来过滤数据包的类型 |
-i ens33 | 只抓经过接口ens33的包 |
-t | 不显示时间戳 |
-s0 | 抓取数据包时默认抓取长度为68字节,加-s0后可以抓到完整的数据包 |
-c 100 | 只抓取100个数据包 |
dst port !22 | 不抓取目标端口是22的数据包 |
src net 192.168.58.0/24 | 数据包的源网络地址为192.168.58.0/24 |
-w ./target.cap | 保存成cap文件,方便用ethereal(即wireshark)分析 |