平常运维（四）

一 iptables filter表案例

    一、 

    #！/bin/bash    //脚本语言的默认起始行

    ipt="/usr/sbin/iptables"    //定义变量

    $ipt -F  //清空原有规则

    $ipt -P INPUT DROP  //默认丢弃入方向的包

    $ipt -P OUTPUT ACCEPT  //默认接收出方向的包

    $ipt -P FORWARD ACCEPT  

    $ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  //入方向增长对指定状态包方向，这条规则可让通讯更加顺畅

    $ipt -A INPUT -s 192.168.133.0/24 -p tcp --dport 22 -j ACCEPT   // 0-24网段的22端口放行

    $ipt -A INPUT -p tcp --dport 80 -j ACCEPT   //80端口数据包放行

    $ipt -A INPUT -p tcp --dport 21 -j ACCEPT  //21端口数据包放行

二 iptables nat表应用

    一、让B机器链接外网

        1）准备好两台机器，给两台机器分配网卡

        我已有两台机器，克隆3充当A机器的角色，克隆1充当B机器的角色

    2）给A机器分配网卡

    当前个人A机器已有一块外网网卡，还须要新增一块内网网卡

完成后，再更改网卡设置

给新网卡选择新加的LAN区段1，至关于给A机器连上了一台内网交换机，

给B机器也进行相同的操做，这样AB机器就处于同一内网环境中了，注意须要将B机器原来的外网网卡禁用，以下图

准备完毕，启动AB两台机器

    3）给A机器的内网网卡添加IP

        # ifconfig ens37 192.168.100.1/24

这种方法添加的IP是临时的，一旦设备重启，IP就没有了，若是想永久生效，须要拷贝并修改配置文件

再用一样的方法给B机器添加IP

至此，准备 OK

    4）在A机器上打开路由转发

        打开路由转发须要将文件/proc/sys/net/ipv4/ip_forward文件的内容从默认的0修改成1，以下：

    5）给A机器增长一条规则

        # iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

    这条命令是给A机器作一个欺骗，使192.168.100.0这个网段的机器都能上网

    6）B机器上设置网关

        给B机器增长默认网关192.168.100.1，后，再让B机器ping外网的网关192.168.133.1就能ping通，意味着B机器能上网了。

二、让C机器能远程链接B机器的22端口

    前面的实验中C机器是能够链接A机器的，但不能直接链接B机器，如今咱们来实现让C机器也能远程连上B机器，这里要使用到端口映射

    1）给A机器打开路由转发

        打开路由转发须要将文件/proc/sys/net/ipv4/ip_forward文件的内容从默认的0修改成1，以下：

    2）删除需求1中写的规则，以避免影响新写的规则

    3）新增两条规则

        # iptables -t nat -A PREROUTING -d 192.168.133.130 -p tcp --dport 1122 -j DNAT --to 192.168.100.100:22   //将从C机器来的包经A机器的1122端口转发到B机器的22端口

            # iptables -t nat -A POSTROUTING -s 192.168.100.100 -j SNAT --to 192.168.133.130  //将B机器返回的包发送到A机器上

    4）B机器上设置网关

        给B机器增长默认网关192.168.100.1后，再让B机器ping外网的网关192.168.133.1就能ping通，意味着B机器能上网了，同时从C机器上也能远程登陆B机器的22端口了