Linux双网卡路由器配置

Linux双网卡路由器配置

一、测试工作室的网络要求：

      测试工作室在会议室内，作为独立测试环境，希望于公司现有网络分开；因为希望能够访问公司内网的资源，也希望不用去会议室就可以远程桌面访问测试服务器，或者通过不同端口访问发布在工作室内部的应用程序。 这里就提出了两个要求：

      1、 测试工作室可以随意访问公司内网（主要是访问内网的数据库服务器或者共享文件）；

      2、 公司内网可以通过特定端口访问测试工作室（http协议访问应用程序，远程桌面访问控制测试服务器）。

      这恰巧就是一台普通路由器应该具备的功能。普通家庭用的路由器就是具备路由转发功能，实现共享上网，然后还可以映射端口，供外网访问到内网开启的对外服务。 这里重点写下里面的路由实现原理，以解释我们访问实现方法。

 二、liunx双网卡代理服务器的信息

      操作系统：Redhat Linux9

     网络图： 公司内网（10网段）——公司网关——外网| 网卡Eth0（10.1.10.173） | linux代理做的路由 | 网卡Eth1（192.168.1.1） | 交换机——工作组（192网段）

     网卡： Eth0：IP：10.1.10.173 Mask：255.255.255.0 Gateway：10.1.10.254 Eth1：IP：192.168.1.1 Mask：255.255.255.0 Gateway：空 路由表：

    设置完毕后，系统自动添加 Destination Gateway Genmask Flags Metric Ref Use Iface 192.168.1.0 * 255.255.255.0 U 0 0 0 eth1 10.1.10.0 * 255.255.255.0 U 0 0 0 eth0 default 10.1.10.254 0.0.0.0 UG 0 0 0 eth0

    路由脚本： touch /var/lock/subsys/local

                   #到达指定目录

                        /sbin/modprobe ip_tables

                        /sbin/modprobe ip_nat_ftp /sbin/modprobe ip_conntrack_ftp

                   #加载这些功能模块

                        /sbin/iptables –F

                   #删除file表中的全部规则

                        /sbin/iptables -F -t nat

                   #删除nat表中的全部规则

                        /sbin/iptables –X

                   #删除用户指定的链

                       /sbin/iptables –Z

                    #把所有链的包及字节的计数器清空

                        /sbin/iptables -P INPUT ACCEPT

                        /sbin/iptables -P FORWARD ACCEPT

                        /sbin/iptables -P OUTPUT ACCEPT

                    #指定默认的链 INPUT、FORWARD、OUTPUT都允许。

                        echo 1 > /proc/sys/net/ipv4/ip_forward

                    #开启内核包转发功能

                         iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 10.1.10.173

                    #修改出去的192.168.1.*的包成转化为地址10.1.10.173出去

                         echo "60" > /proc/sys/net/ipv4/tcp_keepalive_time

                     #TCP链路保持连接时间60s

                         echo "45" > /proc/sys/net/ipv4/tcp_keepalive_intvl

                     #keepalive探测包的发送间隔

                         echo "5" > /proc/sys/net/ipv4/tcp_keepalive_probes

                     #如果对方不予应答，探测包的发送次数

                          iptables -t nat -A PREROUTING -d 10.1.10.173 -p tcp --dport 7001 -j DNAT --to 192.168.1.11:7001

                          iptables -t nat -A PREROUTING -d 10.1.10.173 -p tcp --dport 3389 -j DNAT --to 192.168.1.11:3389

                    #端口映射（-t 表nat, -A后面增加一条, PREROUTING 修改路由之前进入的包, -p 采用的tcp协议，--dport 端口号，-j 目标跳转，DNAT 进来的时候改变目的地址）对nat表增加一条进来的地址为10.1.10.173，端口为*的包跳转到内网地址的对应的端口。3389为远程桌面默认端口。

三、路由包转发说明

     1、测试工作室机器互相访问 测试工作室的机器（IP为192.168.1.*）的机器访问同一网段的机器当然没有问题，默认路由表里面已经有了，192.168.1.*网段的数据包都通过eth1网卡转发。（没有这块网卡其实也是可以访问的，只不过是通过对局域网进行广播寻找到目的地址）。

      2、测试工作室机器对公司内网访问 测试工作室的机器（192.168.1.*）的机器对公司内网机器（10.1.10.*）的访问，网卡自动识别目的地址为10.1.10.*的数据包，于是eth1就把数据表交给eth0，然后从eth0发给公司内网的机器。

      3、公司内网通过端口访问测试工作室的机器 公司内网的机器（10.1.10.*）访问测试工作室的机器（192.168.1.*）时，并不能直接访问到192.168.1.*网段，因为我们的网关是10.1.10.254，他找不到测试工作室的网段。但是我们可以访问10.1.10.173，这块和我们同一个网段的网卡，同时也是路由的eth0外网卡，然后路由识别对10.1.10.173的访问，然后把包丢该eth1，eth1按照我们设置好的规则（脚本里面的规则），把对不同端口访问的数据包丢给相应的测试工作室的机器。

           其中需要说明的重点：

            1、“开启内核包转发功能”，路由才会去把两个网段之间访问的数据在两块网卡之间转发。

            2、我们发送的数据都是被打包分成很多很多小的数据包转发的，数据包里面包含了源地址、目的地址、校验码等等信息。数据包通过网卡转发的时候，网卡会修改这些信息，以实现我们夸网段的访问。 比如192.168.1.2访问10.1.10.6，数据包地址经过一次192.168.1.2转换为10.1.10.173，由eth0发给10.1.10.6，当返回请求的数据包到达10.1.10.173，网卡了解到请求是192.168.1.2发出的，所以再把10.1.10.173地址修改为192.168.1.2交给eth1去转发给192.168.1.2。 这些都是基于TCP/IP协议的访问。

       由此我们还可以自己思考下，测试工作室的机器（IP为192.168.1.*）访问google的时候数据包经过eth1转发，再通过公司网关10.1.10.254伪装成公司公网地址*.*.*.*转发，当我们的请求返回的时候可想而知数据包包含的信息量，以及TCP/IP这些底层协议的奇妙。