iptables filter表案例和iptables nat表的应有

iptables filter表案例：

 iptables小案例
 vi /usr/local/sbin/iptables.sh //加入以下内容
#! /bin/bash
ipt="/usr/sbin/iptables"            =  定义一个变量
$ipt -F                                 =  清空以前的默认规则
$ipt -P INPUT DROP            = 把进入的数据包拒绝掉     INPUT=进入的数据包
$ipt -P OUTPUT ACCEPT      =把转发出去的数据包放行   OUTPUT=本机出去的数据包
$ipt -P FORWARD ACCEPT    =默认放行FORWARD 
$ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  =指定放行的状态   
$ipt -A INPUT -s 192.168.133.0/24 -p tcp --dport 22 -j ACCEPT    = 指定放行的端口
$ipt -A INPUT -p tcp --dport 80 -j ACCEPT     = 放行80端口
$ipt -A INPUT -p tcp --dport 21 -j ACCEPT      =   放行21端口
 icmp示例
 iptables -I INPUT -p icmp --icmp-type 8 -j DROP

写完脚本后而且执行脚本，而后查看脚本的规则。

 

iptables -I INPUT -p icmp --icmp-type 8 -j DROP    （能够ping外网，可是禁止别人ping本机）

 

nat表的应用：

 

• A机器两块网卡ens33(192.168.202.130)、ens37(192.168.100.1)，ens33能够上外网，ens37仅仅是内部网络，B机器只有ens37（192.168.100.100），和A机器ens37能够通讯互联。

需求1：可让B机器链接外网

• A机器上打开路由转发 echo "1">/proc/sys/net/ipv4/ip_forward
• A上执行 iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE
• B上设置网关为192.168.100.1

实现：

1. 首先准备两台机器（如果怕实验失败，可先快照下）

2. 在虚拟机hf上在添加一块网卡（已添加过一块虚拟网卡）

3.而后默认的是NAT模式，而后点击完成

4.在选择添加的网卡，并在右侧，选择LAN区段

选择LAN区段，就至关于咱们给网卡链接到了内网的一个交换机上，这个交换机，用windows机器是没法链接的，这样这台机器和那台机器连上同一个内网的交换机，它们二者之间通讯便可。

5.而后选择LAN区段中，刚设置的名称为“内网”

6.最后点击肯定

7.选择克隆的虚拟机hf-02，并添加网卡——>在这台虚拟机上自己有一块网卡，由于已经编辑过IP，因此咱们能够直接禁掉这个网卡

8.而后hf-02添加一块网卡，和hf添加网卡步骤同样相同，并选择LAN区段，中的“内网”，并确认

9.重启两台虚拟机

• hf-02虚拟机中没有了windows所能链接的IP，因此就没法远程链接hf-02

10.打开hf虚拟机，输入ifconfig命令，会看到添加了一个网卡eno33554984

11.这里会看到eno33554984网卡，并无IP，并设置IP（新建那个当私网IP，你能够跟跟视频中的同样，也能够本身设置）

设定IP有两种方法：

• 1.能够命令行添加IP
  • 命令行ifconfig ens36 192.168.100.1/24
• 2.也能够设置配置文件，设置配置文件和设置虚拟网卡同样的步骤
  • 将eno16777736网卡配置文件复制成eno33554984，并修改里面的IP和NETMASK便可其余都不须要管

12.执行命令行ifconfig ens36 192.168.100.1/24，而后运行ifconfig命令，会看到eno33554984网卡有了IP

   手动命令行ifconfig ens36 192.168.100.1/24，设置IP

13.可是eno33554984网卡的IP，在虚拟机一重启，那么IP就会没了——>若想永久生效，就去编辑配置文件，但默认配置文件是不存在的，须要拷贝eno16777736网卡的配置文件，而后更改其中的内容

14.由于hf-02虚拟机没法远程，因此只能在虚拟机上操做

15.用ifconfig命令查看hf-02虚拟机的网卡，会发现也没有IP地址

16.这里若想彻底禁掉eno16777736网卡，可执行ifdown eno16777736命令（这一步可省略，若一直失败的话，只要在设置好IP，两个私网IP互通便可）

但有时会提示MAC地址不对，这时候进网卡配置文件中

• 方法一：注释掉HWADDR参数
• 方法二：看是否存在DEVICE参数。若没有，则增长上DEVICE参数——>(本身的是没有的)
• 方法三：直接删除以前的网卡，新建虚拟网卡

17.给eno33554984网卡设置IP地址，命令行ifconfig ens36 192.168.100.100/24

18.而后用ifconfig命令，查看新建的网卡IP地址

19.这里会看到hf-02虚拟机中的eno16777736网卡，可是是没法ping通的——>若为了保险这里能够执行命令ifdown eno16777736

20.这里会看到hf-02虚拟机中的eno16777736网卡，可是是没法ping通的——>若为了保险这里能够执行命令ifdown eno16777736

21.这时候，两台虚拟机中新建网卡的IP互相尝试互相ping通

22.这时hf机器上须要打开路由转发 ——>想使用nat表，使用网络的转发，必须修改内核参数

• 默认/proc/sys/net/ipv4/ip_forward这个文件为0——>这个文件为0，表示这个文件没有开启内核转发

23.将文件/proc/sys/net/ipv4/ip_forward默认改成1，打开端口转发

• 要想实现nat应用，必须打开端口转发

24.在hf虚拟机上增长一条规则iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

25.实现100.0网段能够上网，作一个欺骗

26.给hf-02设置网关（数据包过去，从hf到hf-02，从hf-02到hf，设置好默认网关）

27.而后hf-02尝试是否能ping通192.168.202.130，这就意味着能够和外网通讯了

28.设置DNS，在/etc/resolv.conf中设置，添加nameserver 119.29.29.29

29.这时候就能够ping通外网了——>但物理机仍是没法ping通hf-02的虚拟机IP地址

30.需求2：C机器只能和A通讯，让C机器能够直接连通B机器的22端口

• A上打开路由转发echo "1">/ proc/sys/net/ipv4/ip_forward
• A上执行iptables -t nat -A PREROUTING -d 192.168.133.130 -p tcp --dport 1122 -j DNAT --to 192.168.100.100:22
• A上执行iptables -t nat -A POSTROUTING -s 192.168.100.100 -j SNAT --to 192.168.133.130
• B上设置网关为192.168.100.1