iptables之SNAT与DNAT

目录

一、SNAT介绍及应用

1、SNAT概述

2、开启SNAT命令

3、SNAT案例

二、DNAT原理与应用 

1、网关开启ip路由转发

2、DNAT原理

3、DNAT案例

三、防火墙的备份和还原

1、备份

2、还原

四、tcpdump -linux 抓包

总结

---

一、SNAT介绍及应用

1、SNAT概述

SNAT应用环境

局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

SNAT策略的原理

源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射

SNAT转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认路由发送数据

Linux网关开启IP路由转发

2、开启SNAT命令

Linux系统本身是没有转发功能，只有路由发送数据

临时开启

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

永久开启

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1                #将此行写入配置文件
sysctl -P                #读取修改后的配置

SNAT原理

内网主机首先经过自己的路由将网关访问外网，然后到达web服务的内部网络中，经过web服务器的内部防火墙服务器，被SNAT将源ip转化成公网ip，在防火墙内部需要进行转换，并且开启转发功能，然后使用公网ip访问web服务器

实现snat功能，将所有192.168.100.0这个网段的ip源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                                   【源ip网段或单独ip】  【出站外网网卡】      【外网ip】
将内网网段映射成地址池
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10

 外网ip或地址池

将内网网段映射成非固定的公网ip地址
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

3、SNAT案例

实验需求
配置SNAT（源地址转换）能够实现外网客户端机器访问内网区域web服务

服务环境说明
内网客户端：用于访问外网服务器。IP：192.168.100.20

外网服务器：提供httpd服务 IP：10.0.0.12 开启httpd、服务关闭防火墙和selinux

网关服务器：用一台虚拟机开启核心转发功能来模拟，用于实现SNAT功能

VMware的虚拟网络编辑器中Vmnet1模式网段：192.168.100.0，Vmnet3模式网段：10.0.0.0

1、虚拟机提前安装httpd以及iptables服务并启动

yum -y install httpd

yum -y install iptables iptables-services

systemctl start httpd

systemctl start iptables

2、打开虚拟网络编辑器，查看VMnet1和VMnet2的网段。设置ens33的网段为192.168.100.0

ens37的网段为10.0.0.0

3、打开虚拟机，点击虚拟机设置，添加一张网卡ens37，网络适配器改成自定义（VMnet1），网络适配器2改成（VMnet2）

4、修改两张网卡信息并重启

 

5、永久开启IP路由转发，开启SNAT

 

6、SNAT转换，固定的公网IP地址

 7、修改ens33的网卡并重启

9、修改windows中VMnet2网络设置

通过web的ip地址，访问httpd服务 

二、DNAT原理与应用 

DNAT应用环境 :Internet中发布位于局域网内的服务器
DNAT原理: 目的地址转换，根据指定条件修改数据包的目的IP地址，保证了内网服务器的安全，通常被叫做目的映谢。
DNAT转换前提条件:

• 局域网的服务器能够访问Internet
• 网关的外网地址有正确的DNS解析记录

1、网关开启ip路由转发

临时打开
echo 1 > /proc/sys/net/ipv4/ip_forward
或者
sysctl  -w  net.ipv4.ip_forward=1

永久打开
vim  /etc/sysctl.conf
net.ipv4.ip_forward =1 (将此行写入配置文件)
sysctl   -p   （写完配置文件后需要刷新）

2、DNAT原理

 在防火墙中设置DNAT

把从ens35进来的要访问web服务的数据包目的地址转换为：192.168.100.2000
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.200

回包
iptables -t nat -A PORTROUTING -s 192.168.100.13 -o ens37 -j DNAT --to 10.0.0.1

iptables -t nat -A PREROUTING -i ens37 -p tcp --dport 80 -j DNAT --to 192.168.100.13-192.168.100.20

3、DNAT案例

1、虚拟机提前安装httpd以及iptables服务并启动

yum -y install httpd

yum -y install iptables iptables-services

systemctl start httpd

systemctl start iptables

2、配置2张网卡 

 

3、配置路由转发

4、配置DNAT设置

 5、修改web服务器网卡

修改vmnet2

 访问web服务器 

三、防火墙的备份和还原

1、备份

#导出（备份）所有表的规则
[root@xiaogang ~]# iptables-save > /opt/iptables.txt
[root@xiaogang ~]# cat /opt/iptables.txt 

2、还原

iptables-restore < /opt/iptables.txt 备份好的文件进行还原
 
将iptables规则文件保存在 /etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则
 
iptables-save > /etc/sysconfig/iptables
 
systemctl stop iptables停止iptables服务会清空掉所有表的规则
 
systemctl start iptables启动iptables服务会自动还原/etc/sysconfig/iptables 中的规则

四、tcpdump -linux 抓包

tcp∶ ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

-i ens33 ∶只抓经过接口ens33的包

-t ∶不显示时间戳

-s 0 ∶ 抓取数据包时默认抓取长度为68字节。加上-s 0 后可以抓到完整的数据包

-c 100 ∶只抓取100个数据包

dst port ! 22 ∶不抓取目标端口是22的数据包

src net 192.168.1.0/24 ∶数据包的源网络地址为192.168.1.0/24。Net：网段，host：主机

-w ./target.cap ∶ 保存成cap文件，方便用ethereal （即wireshark）分析

总结

本篇内容主要描述了SNAT和DNAT的原理以及实验案例，SNAT是源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射。DNAT是修改数据包的目的地址，通常被叫做目的映射。