IPTABLES简介

时间 2019-11-30

标签 iptables 简介栏目系统网络繁體版

原文原文链接

iptables防火墙工做原理html

简介：iptables防火墙工做在网络层，针对TCP/IP数据包实施过滤和限制，iptables防火墙基于内核编码实现，具备很是稳定的性能和高效率；linux

　　　iptables属于“用户态”的防火墙管理体系。web

规则表 shell

filter表：filter表用来对数据包进行过滤，根据具体的规则要就决定如何处理一个数据包。对应内核模块：iptable_fileter。共包含三个链。vim

nat表：nat(Network Address Translation,网络地址转换)表主要用于修改数据包 ip地址，端口号等信息。对应的内核模块为iptable_nat，共包含三个链。后端

mangle表：mangle表用来修改数据包的TOS(Type Of Service,服务类型)，TTL（Time To Live，生存周期）值，或者为数据包设置Mark标记，以实现流量整形，策略路由等高级应用。对应的内核模块为　　　　　iptable_mangle，共包含五个链。安全

raw表：raw表示自1.2.9之后版本的iptables新增的表，主要来决定是否对数据包进行状态跟踪。对应的内核模块为iptable_raw,共包含两个链。服务器

规则链网络

INPUT链：当收到访问防火墙本机地址的数据包(入站)时，应用此链中的规则。并发

OUTPUT链：当防火墙本机向外发送数据包(出站)时，应用此链中的规则。

FORWARD链:当接收到须要经过防火墙中转发送给其余地址的数据包(转发)是，应用测链中的规则。

PREROUTING链：在对数据包作路由选择以前，应用测链中的规则。

POSTROUTING链：在对数据包作路由选择以后，应用此链中的规则。

简要说明：其中INPUT，OUTPUT链主要用在“主机防火墙”中。即主要针对服务器本机惊醒保护的防火墙；而FORWARD，PREROUTING,POSTROUTING链多用在“网络型防火墙”中，例如使用Linux防火墙做为网关　　　　　服务器在公司与Inetnet之间进行安全控制。

数据包过滤工做流程

规则表应用优先级：raw→mangle→nat→filter

各条规则的应用顺序：链内部的过滤遵循“匹配即中止”的原则，若是对比完整个链也没有找到和数据包匹配的规则，则会按照链的默认策略进行处理。

入站数据流向：数据包到达防火墙后首先被PREROUTING链处理(是否修改数据包地址等)，而后进行路由选择（判断数据包发往何处），若是数据包的目标地址是防火墙本机（如：Internet用户访问网关的Web服务端口），那么内核将其传递给INPUT链进行处理(决定是否容许经过等)。

转发数据流向：来自外界的数据包到达防火墙后首先被PREROUTTING链处理，而后再进行路由选择；若是数据包的目标地址是其余的外部地址(如局域网用户经过网关访问QQ服务器)，则内核将其传递给FORWARD链进行处理(容许转发，拦截，丢弃)，最后交给POSTROUTING链(是否修改数据包的地址等)进行处理。

出站数据流向：防火墙本机向外部地址发送的数据包(如在防火墙主机中测试公网DNS服务时)，首先被OUTPUT链处理，而后进行路由选择，再交给POSTROUTING链(是否修改数据包的地址等)进行处理。

命令实战

语法：

iptables [ - t 表名 ] 管理选项 [链名] [匹配条件] [-j 控制类型]

未指定表名时将默认使用filter表。

控制类型：

　ACCEPT:容许数据包经过。

　DROP：直接丢弃数据包，不给出任何回应信息。

　REJECT:拒绝数据包经过，会给数据发送端一个响应信息。　

拒绝发给本机使用ICMP协议的数据包：iptable -t filter -I INPUT -p icmp -j REJECT

-A 在指定链的末尾添加(--append)一条新的规则
-D 删除(--delete)指定链中的某一条规则，可指定规则须要或具体内容。
-I 在指定链中插入(--insert)-条新的规则，未指定序号时默认做为第一条规则。
-R 修改，替换(--replace)指定链中的某一条规则，可指定规则序号或具体内容。
-L 列出(--list)指定链中的全部规则，若未指定链名，则清空表中的全部链。
-P 设置指定链的默认策略(--policy)。
-n 使用数字形式(--numeric)显示输出结果，如显示ip地址而不是主机名
-v 查看规则列表时显示详细(--verbose)的信息。
-line-numbers 查看规则列表时，同时显示规则在链中的顺序号。

咱们来配置一个filter表的防火墙.

(1)查看本机关于IPTABLES的设置状况

[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain RH-Firewall-1-INPUT (0 references)
target     prot opt source               destination
ACCEPT     all -- 0.0.0.0/0            0.0.0.0/0
ACCEPT     icmp -- 0.0.0.0/0            0.0.0.0/0           icmp type 255
ACCEPT     esp -- 0.0.0.0/0            0.0.0.0/0
ACCEPT     ah   -- 0.0.0.0/0            0.0.0.0/0
ACCEPT     udp -- 0.0.0.0/0            224.0.0.251         udp dpt:5353
ACCEPT     udp -- 0.0.0.0/0            0.0.0.0/0           udp dpt:631
ACCEPT     all -- 0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     tcp -- 0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
ACCEPT     tcp -- 0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80
ACCEPT     tcp -- 0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:25
REJECT     all -- 0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
能够看出我在安装linux时,选择了有防火墙,而且开放了22,80,25端口.

若是你在安装linux时没有选择启动防火墙,是这样的

[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

什么规则都没有.

(2)清除原有规则.

无论你在安装linux时是否启动了防火墙,若是你想配置属于本身的防火墙,那就清除如今filter的全部规则.

[root@tp ~]# iptables -F 清除预设表filter中的全部规则链的规则
[root@tp ~]# iptables -X 清除预设表filter中使用者自定链中的规则

咱们在来看一下

[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

什么都没有了吧,和咱们在安装linux时没有启动防火墙是同样的.(提早说一句,这些配置就像用命令配置IP同样,重起就会失去做用),怎么保存.

[root@tp ~]# /etc/rc.d/init.d/iptables save

这样就能够写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起做用.

[root@tp ~]# service iptables restart

如今IPTABLES配置表里什么配置都没有了,那咱们开始咱们的配置吧

(3)设定预设规则

[root@tp ~]# iptables -P INPUT DROP

[root@tp ~]# iptables -P OUTPUT ACCEPT

[root@tp ~]# iptables -P FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.咱们要控制流入数据包

而对于OUTPUT链,也就是流出的包咱们不用作太多限制,而是采起ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是经过.

能够看出INPUT,FORWARD两个链采用的是容许什么包经过,而OUTPUT链采用的是不容许什么包经过.

这样设置仍是挺合理的,固然你也能够三个链都DROP,但这样作我认为是没有必要的,并且要写的规则就会增长.但若是你只想要有限的几个规则是,如只作WEB服务器.仍是推荐三个链都是DROP.

注:若是你是远程SSH登录的话,当你输入第一个命令回车的时候就应该掉了.由于你没有设置任何规则.

怎么办,去本机操做呗!

(4)添加规则.

首先添加INPUT链,INPUT链的默认规则是DROP,因此咱们就写须要ACCETP(经过)的链

为了能采用远程SSH登录,咱们要开启22端口.

[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT (注:这个规则,若是你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则致使,始终没法SSH.在远程一下,是否是好了.

其余的端口也同样,若是开启了web服务器,OUTPUT设置成DROP的话,一样也要添加一条链:

[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ,其余同理.)

若是作了WEB服务器,开启80端口.

[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
若是作了邮件服务器,开启25,110端口.

[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
若是作了FTP服务器,开启21端口

[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT

若是作了DNS服务器,开启53端口

[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT

若是你还作了其余的服务器,须要开启哪一个端口,照写就好了.

上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP

容许icmp包经过,也就是容许ping,

[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)

[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)

容许loopback!(否则会致使DNS没法正常关闭等问题)

IPTABLES -A INPUT -i lo -p all -j ACCEPT (若是是INPUT DROP)
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(若是是OUTPUT DROP)

下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,因此咱们就写须要DROP(放弃)的链.

减小不安全的端口链接

[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP

[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP

有些些特洛伊木马会扫描端口31337到31340(即黑客语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通讯,阻塞这些端口可以有效地减小你的网络上可能被感染的机器和它们的远程主服务器进行独立通讯的机会

还有其余端口也同样,像:3133五、2744四、2766五、20034 NetBus、970四、137-139（smb）,2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.

固然出入更安全的考虑你也能够包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加

容许SSH登录同样.照着写就好了.

下面写一下更加细致的规则,就是限制到某台机器

如:咱们只容许192.168.0.3的机器进行SSH链接

[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT

若是要容许,或限制一段IP地址可用 192.168.0.0/24 表示192.168.0.1-255端的全部IP.

24表示子网掩码数.但要记得把 /etc/sysconfig/iptables 里的这一行删了.

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 由于它表示全部地址均可以登录.

或采用命令方式:

[root@tp ~]# iptables -D INPUT -p tcp --dport 22 -j ACCEPT

而后保存,我再说一边,反是采用命令的方式,只在当时生效,若是想要重起后也起做用,那就要保存.写入到/etc/sysconfig/iptables文件里.

[root@tp ~]# /etc/rc.d/init.d/iptables save

这样写 !192.168.0.3 表示除了192.168.0.3的ip地址

其余的规则链接也同样这么设置.

在下面就是FORWARD链,FORWARD链的默认规则是DROP,因此咱们就写须要ACCETP(经过)的链,对正在转发链的监控.

开启转发功能,(在作NAT时,FORWARD默认规则是DROP时,必须作)

[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT

[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT

丢弃坏的TCP包

[root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP

处理IP碎片数量,防止攻击,容许每秒100个

[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT

设置ICMP包过滤,容许每秒1个包,限制触发条件是10个包.

[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT

我在前面只因此容许ICMP包经过,就是由于我在这里有限制.

二,配置一个NAT表放火墙

1,查看本机关于NAT的设置状况

[root@tp rc.d]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

个人NAT已经配置好了的(只是提供最简单的代理上网功能,尚未添加防火墙规则).关于怎么配置NAT,参考个人另外一篇文章

固然你若是尚未配置NAT的话,你也不用清除规则,由于NAT在默认状况下是什么都没有的

若是你想清除,命令是

[root@tp ~]# iptables -F -t nat

[root@tp ~]# iptables -X -t nat

[root@tp ~]# iptables -Z -t nat

2,添加规则

添加基本的NAT地址转换,(关于如何配置NAT能够看个人另外一篇文章),

添加规则,咱们只添加DROP链.由于默认链全是ACCEPT.

防止外网用内网IP欺骗

[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
若是咱们想,好比阻止MSN,QQ,BT等的话,须要找到它们所用的端口或者IP,(我的认为没有太大必要)

例：

禁止与211.101.46.253的全部链接

[root@tp ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP

禁用FTP(21)端口

[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP

这样写范围太大了,咱们能够更精确的定义.

[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP

这样只禁用211.101.46.253地址的FTP链接,其余链接还能够.如web(80端口)链接.

按照我写的,你只要找到QQ,MSN等其余软件的IP地址,和端口,以及基于什么协议,只要照着写就好了.

最后：

drop非法链接
[root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables-A FORWARD -m state --state INVALID -j DROP
容许全部已经创建的和相关的链接
[root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[root@tp ~]# /etc/rc.d/init.d/iptables save

这样就能够写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起做用．

[root@tp ~]# service iptables restart

别忘了保存，不行就写一部保存一次．你能够一边保存，一边作实验，看看是否达到你的要求，

上面的全部规则我都试过，没有问题．

写这篇文章，用了我将近１个月的时间．查找资料，本身作实验，但愿对你们有所帮助．若有不全及不完善的地方还请提出.

由于本篇文章以配置为主.关于IPTABLES的基础知识及指令命令说明等我会尽快传上,固然你能够去网上搜索一下,仍是不少的.

Linux防火墙iptables学习笔记

1、概要
一、防火墙分类
   ①包过滤防火墙(pack filtering)在网络层对数据包进行选择过滤，采用访问控制列表(Access control table－ACL)检查数据流的源地址，目的地址，源和目的端口，IP等信息。
   ②代理服务器型防火墙
二、iptables基础
   ①规则(rules)：网络管理员预约义的条件
   ②链(chains)：是数据包传播的路径
   ③表(tables)：内置3个表filter表，nat表，mangle表分别用于实现包过滤网络地址转换和包重构的功能
   ④filter表是系统默认的，INPUT表(进入的包)，FORWORD(转发的包)，OUTPUT(处理本地生成的包)，filter表只能对包进行授受和丢弃的操做。
   ⑤nat表(网络地址转换)，PREROUTING(修改即将到来的数据包)，OUTPUT(修改在路由以前本地生成的数据包)，POSTROUTING(修改即将出去的数据包)
   ⑥mangle表，PREROUTING，OUTPUT，FORWORD，POSTROUTING，INPUT
三、其它
iptables是按照顺序读取规则
防火墙规则的配置建议
Ⅰ 规则力求简单
Ⅱ 规则的顺序很重要
Ⅲ 尽可能优化规则
Ⅳ 作好笔记
2、配置
一、iptables命令格式
   iptables [-t 表] －命令匹配操做（大小写敏感）
动做选项
   ACCEPT       接收数据包
   DROP          丢弃数据包
   REDIRECT    将数据包从新转向到本机或另外一台主机的某一个端口，一般功能实现透明代理或对外开放内网的某些服务
   SNAT          源地址转换
   DNAT          目的地址转换
   MASQUERADE    IP假装
   LOG             日志功能
二、定义规则
①先拒绝全部的数据包，而后再容许须要的数据包
   iptalbes -P INPUT DROP
   iptables -P FORWARD DROP
   iptables -P OUTPUT ACCEPT
②查看nat表全部链的规则列表
   iptables -t nat -L
③增长，插入，删除和替换规则
   iptables [-t 表名] <-A|I|D|R> 链名 [规则编号] [-i|o 网卡名称] [-p 协议类型] [-s 源ip|源子网] [--sport 源端口号] [-d 目的IP|目标子网] [--dport 目标端口号] [-j 动做]
参数：-A 增长
            -I 插入
            -D 删除
            -R 替换

3、例子
①iptables -t filter -A INPUT -s 192.168.1.5 -i eth0 -j DROP
禁止IP为192.168.1.5的主机从eth0访问本机②iptables -t filter -I INPUT 2 -s 192.168.5.0/24 -p tcp --dport 80 -j DROP
禁止子网192.168.5.0访问web服务③iptables -t filter -I INPUT 2 -s 192.168.7.9 -p tcp --dport ftp -j DROP
禁止IP为192.168.7.9访问FTP服务
④iptables -t filter -L INPUT
查看filter表中INPUT链的规则
⑤iptables -t nat -F
删除nat表中的全部规则
⑥iptables -I FORWARD -d wwww.playboy.com -j DROP
禁止访问 www.playboy.com网站
⑦iptables -I FORWARD -s 192.168.5.23 -j DROP
禁止192.168.5.23上网

iptables经常使用命令

iptables -nv -L 查看iptables列表

iptables -F 清空iptables规则

iptables-save > /etc/sysconfig/iptables 保存iptables规则到文件

service iptables restart 重启iptables

如下是我服务器的iptables配置

# Generated by iptables-save v1.4.7 on Tue Jul  5 12:06:29 2016
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4:4940]
-A INPUT -i lo -j ACCEPT #容许本地回环
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #容许服务器访问外网，例如curl,wget
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT #容许全部IP访问网站
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT #容许ping请求
-A INPUT -s 61.149.47.34/32 -p tcp -m tcp --dport 3306 -j ACCEPT #容许公司IP访问MySQL
-A INPUT -s 61.149.47.34/32 -p tcp -m tcp --dport 6379 -j ACCEPT #容许公司IP访问Redis
-A INPUT -p tcp -m multiport --dports 8081,10050,65008 -j ACCEPT #容许全部IP访问8081,10050,65008端口，ps:65008是个人ssh端口
-A INPUT -j REJECT --reject-with icmp-port-unreachable #拒绝全部的IP访问全部的端口
COMMIT
# Completed on Tue Jul  5 12:06:29 2016

防止攻击

防范DDOS攻击脚本
#防止DOS太多链接进来,能够容许外网网卡每一个IP最多15个初始链接,超过的丢弃 
iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP 
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

防范CC攻击
(1)控制单个IP的最大并发链接数
iptables -I INPUT -p tcp --dport 80 -m connlimit  --connlimit-above 50 -j REJECT #容许单个IP的最大链接数为 30
(2)控制单个IP的某段时间的链接数
iptables -A INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j REJECT
iptables -A INPUT -p icmp -j DROP

如下转载

一：前言

防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。不管是在哪一个网络中，防火墙工做的地方必定是在网络的边缘。而咱们的任务就是须要去定义到底防火墙如何工做，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。

目前市面上比较常见的有三、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，实际上是代理层的网关。

对于TCP/IP的七层模型来说，咱们知道第三层是网络层，三层的防火墙会在这层对源地址和目标地址进行检测。可是对于七层的防火墙，无论你源端口或者目标端口，源地址或者目标地址是什么，都将对你全部的东西进行检查。因此，对于设计原理来说，七层防火墙更加安全，可是这却带来了效率更低。因此市面上一般的防火墙方案，都是二者结合的。而又因为咱们都须要从防火墙所控制的这个口来访问，因此防火墙的工做效率就成了用户可以访问数据多少的一个最重要的控制，配置的很差甚至有可能成为流量的瓶颈。

二：iptables 的历史以及工做原理

1.iptables的发展:

iptables的前身叫ipfirewall （内核1.x时代）,这是一个做者从freeBSD上移植过来的，可以工做在内核当中的，对数据包进行检测的一款简易访问控制工具。可是ipfirewall工做功能极其有限(它须要将全部的规则都放进内核当中，这样规则才可以运行起来，而放进内核，这个作法通常是极其困难的)。当内核发展到2.x系列的时候，软件改名为ipchains，它能够定义多条规则，将他们串起来，共同发挥做用，而如今，它叫作iptables，能够将规则组成一个列表，实现绝对详细的访问控制功能。

他们都是工做在用户空间中，定义规则的工具，自己并不算是防火墙。它们定义的规则，可让在内核空间当中的netfilter来读取，而且实现让防火墙工做。而放入内核的地方必需要是特定的位置，必须是tcp/ip的协议栈通过的地方。而这个tcp/ip协议栈必须通过的地方，能够实现读取规则的地方就叫作 netfilter.(网络过滤器)

做者一共在内核空间中选择了5个位置，

1.内核空间中：从一个网络接口进来，到另外一个网络接口去的

2.数据包从内核流入用户空间的

3.数据包从用户空间流出的

4.进入/离开本机的外网接口

5.进入/离开本机的内网接口

2.iptables的工做机制

从上面的发展咱们知道了做者选择了5个位置，来做为控制的地方，可是你有没有发现，其实前三个位置已经基本上能将路径完全封锁了，可是为何已经在进出的口设置了关卡以后还要在内部卡呢？因为数据包还没有进行路由决策，还不知道数据要走向哪里，因此在进出口是没办法实现数据过滤的。因此要在内核空间里设置转发的关卡，进入用户空间的关卡，从用户空间出去的关卡。那么，既然他们没什么用，那咱们为何还要放置他们呢？由于咱们在作NAT和DNAT的时候，目标地址转换必须在路由以前转换。因此咱们必须在外网然后内网的接口处进行设置关卡。

这五个位置也被称为五个钩子函数（hook functions）,也叫五个规则链。

1.PREROUTING (路由前)

2.INPUT (数据包流入口)

3.FORWARD (转发管卡)

4.OUTPUT(数据包出口)

5.POSTROUTING（路由后）

这是NetFilter规定的五个规则链，任何一个数据包，只要通过本机，必将通过这五个链中的其中一个链。

3.防火墙的策略

防火墙策略通常分为两种，一种叫“通”策略，一种叫“堵”策略，通策略，默认门是关着的，必需要定义谁能进。堵策略则是，大门是洞开的，可是你必须有身份认证，不然不能进。因此咱们要定义，让进来的进来，让出去的出去，因此通，是要全通，而堵，则是要选择。当咱们定义的策略的时候，要分别定义多条功能，其中：定义数据包中容许或者不容许的策略，filter过滤的功能，而定义地址转换的功能的则是nat选项。为了让这些功能交替工做，咱们制定出了“表”这个定义，来定义、区分各类不一样的工做功能和处理方式。

咱们如今用的比较多个功能有3个：

1.filter 定义容许或者不容许的

2.nat 定义地址转换的

3.mangle功能:修改报文原数据

咱们修改报文原数据就是来修改TTL的。可以实现将数据包的元数据拆开，在里面作标记/修改内容的。而防火墙标记，其实就是靠mangle来实现的。

小扩展:

对于filter来说通常只能作在3个链上：INPUT ，FORWARD ，OUTPUT

对于nat来说通常也只能作在3个链上：PREROUTING ，OUTPUT ，POSTROUTING

而mangle则是5个链均可以作：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

iptables/netfilter（这款软件）是工做在用户空间的，它可让规则进行生效的，自己不是一种服务，并且规则是当即生效的。而咱们iptables如今被作成了一个服务，能够进行启动，中止的。启动，则将规则直接生效，中止，则将规则撤销。

iptables还支持本身定义链。可是本身定义的链，必须是跟某种特定的链关联起来的。在一个关卡设定，指定当有数据的时候专门去找某个特定的链来处理，当那个链处理完以后，再返回。接着在特定的链中继续检查。

注意：规则的次序很是关键，谁的规则越严格，应该放的越靠前，而检查规则的时候，是按照从上往下的方式进行检查的。

三．规则的写法:

iptables定义规则的方式比较复杂:

格式：iptables [-t table] COMMAND chain CRETIRIA -j ACTION

-t table ：3个filter nat mangle

COMMAND：定义如何对规则进行管理

chain：指定你接下来的规则究竟是在哪一个链上操做的，当定义策略的时候，是能够省略的

CRETIRIA:指定匹配标准

-j ACTION :指定如何进行处理

好比：不容许172.16.0.0/24的进行访问。

iptables -t filter -A INPUT -s 172.16.0.0/16 -p udp --dport 53 -j DROP

固然你若是想拒绝的更完全：

iptables -t filter -R INPUT 1 -s 172.16.0.0/16 -p udp --dport 53 -j REJECT

iptables -L -n -v #查看定义规则的详细信息

四：详解COMMAND:

1.链管理命令（这都是当即生效的）

-P :设置默认策略的（设定默认门是关着的仍是开着的）

默认策略通常只有两种

iptables -P INPUT (DROP|ACCEPT) 默认是关的/默认是开的

好比：

iptables -P INPUT DROP 这就把默认规则给拒绝了。而且没有定义哪一个动做，因此关于外界链接的全部规则包括Xshell链接之类的，远程链接都被拒绝了。

-F: FLASH，清空规则链的(注意每一个链的管理权限)

iptables -t nat -F PREROUTING

iptables -t nat -F 清空nat表的全部链

-N:NEW 支持用户新建一个链

iptables -N inbound_tcp_web 表示附在tcp表上用于检查web的。

-X: 用于删除用户自定义的空链

使用方法跟-N相同，可是在删除以前必需要将里面的链给清空昂了

-E：用来Rename chain主要是用来给用户自定义的链重命名

-E oldname newname

-Z：清空链，及链中默认规则的计数器的（有两个计数器，被匹配到多少个数据包，多少个字节）

iptables -Z :清空

2.规则管理命令

-A：追加，在当前链的最后新增一个规则

-I num : 插入，把当前规则插入为第几条。

-I 3 :插入为第三条

-R num：Replays替换/修改第几条规则

格式：iptables -R 3 …………

-D num：删除，明确指定删除第几条规则

3.查看管理命令 “-L”

附加子命令

-n：以数字的方式显示ip，它会将ip直接显示出来，若是不加-n，则会将ip反向解析成主机名。

-v：显示详细信息

-vv

-vvv :越多越详细

-x：在计数器上显示精确值，不作单位换算

--line-numbers : 显示规则的行号

-t nat：显示全部的关卡的信息

五：详解匹配标准

1.通用匹配：源地址目标地址的匹配

-s：指定做为源地址匹配，这里不能指定主机名称，必须是IP

IP | IP/MASK | 0.0.0.0/0.0.0.0

并且地址能够取反，加一个“!”表示除了哪一个IP以外

-d：表示匹配目标地址

-p：用于匹配协议的（这里的协议一般有3种，TCP/UDP/ICMP）

-i eth0：从这块网卡流入的数据

流入通常用在INPUT和PREROUTING上

-o eth0：从这块网卡流出的数据

流出通常在OUTPUT和POSTROUTING上

2.扩展匹配

2.1隐含扩展：对协议的扩展

-p tcp :TCP协议的扩展。通常有三种扩展

--dport XX-XX：指定目标端口,不能指定多个非连续端口,只能指定单个端口，好比

--dport 21 或者 --dport 21-23 (此时表示21,22,23)

--sport：指定源端口

--tcp-fiags：TCP的标志位（SYN,ACK，FIN,PSH，RST,URG）

对于它，通常要跟两个参数：

1.检查的标志位

2.必须为1的标志位

--tcpflags syn,ack,fin,rst syn = --syn

表示检查这4个位，这4个位中syn必须为1，其余的必须为0。因此这个意思就是用于检测三次握手的第一次包的。对于这种专门匹配第一包的SYN为1的包，还有一种简写方式，叫作--syn

-p udp：UDP协议的扩展

--dport

--sport

-p icmp：icmp数据报文的扩展

--icmp-type：

echo-request(请求回显)，通常用8 来表示

因此 --icmp-type 8 匹配请求回显数据包

echo-reply （响应的数据包）通常用0来表示

2.2显式扩展（-m）

扩展各类模块

-m multiport：表示启用多端口扩展

以后咱们就能够启用好比 --dports 21,23,80

六：详解-j ACTION

经常使用的ACTION：

DROP：悄悄丢弃

通常咱们多用DROP来隐藏咱们的身份，以及隐藏咱们的链表

REJECT：明示拒绝

ACCEPT：接受

custom_chain：转向一个自定义的链

DNAT

SNAT

MASQUERADE：源地址假装

REDIRECT：重定向：主要用于实现端口重定向

MARK：打防火墙标记的

RETURN：返回

在自定义链执行完毕后使用返回，来返回原规则链。

练习题1：

只要是来自于172.16.0.0/16网段的都容许访问我本机的172.16.100.1的SSHD服务

分析：首先确定是在容许表中定义的。由于不须要作NAT地址转换之类的，而后查看咱们SSHD服务，在22号端口上，处理机制是接受，对于这个表，须要有一来一回两个规则，若是咱们容许也好，拒绝也好，对于访问本机服务，咱们最好是定义在INPUT链上，而OUTPUT再予以定义就好。(会话的初始端先定义)，因此加规则就是：

定义进来的： iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.1 -p tcp --dport 22 -j ACCEPT

定义出去的： iptables -t filter -A OUTPUT -s 172.16.100.1 -d 172.16.0.0/16 -p tcp --dport 22 -j ACCEPT

将默认策略改为DROP:

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

七：状态检测：

是一种显式扩展，用于检测会话之间的链接关系的，有了检测咱们能够实现会话间功能的扩展

什么是状态检测？对于整个TCP协议来说，它是一个有链接的协议，三次握手中，第一次握手，咱们就叫NEW链接，而从第二次握手之后的，ack都为1，这是正常的数据传输，和tcp的第二次第三次握手，叫作已创建的链接（ESTABLISHED）,还有一种状态，比较诡异的，好比：SYN=1 ACK=1 RST=1,对于这种咱们没法识别的，咱们都称之为INVALID没法识别的。还有第四种，FTP这种古老的拥有的特征，每一个端口都是独立的，21号和20号端口都是一去一回，他们之间是有关系的，这种关系咱们称之为RELATED。

因此咱们的状态一共有四种：

NEW

ESTABLISHED

INVALID

因此咱们对于刚才的练习题，能够增长状态检测。好比进来的只容许状态为NEW和ESTABLISHED的进来，出去只容许ESTABLISHED的状态出去，这就能够将比较常见的反弹式木马有很好的控制机制。

对于练习题的扩展：

进来的拒绝出去的容许，进来的只容许ESTABLISHED进来，出去只容许ESTABLISHED出去。默认规则都使用拒绝

iptables -L -n --line-number ：查看以前的规则位于第几行

改写INPUT

iptables -R INPUT 2 -s 172.16.0.0/16 -d 172.16.100.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -R OUTPUT 1 -m state --state ESTABLISHED -j ACCEPT

此时若是想再放行一个80端口如何放行呢？

iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -R INPUT 1 -d 172.16.100.1 -p udp --dport 53 -j ACCEPT

练习题2：

假如咱们容许本身ping别人，可是别人ping本身ping不通如何实现呢？

分析：对于ping这个协议，进来的为8（ping），出去的为0(响应).咱们为了达到目的，须要8出去,容许0进来

在出去的端口上：iptables -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT

在进来的端口上：iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

小扩展：对于127.0.0.1比较特殊，咱们须要明肯定义它

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

八：SNAT和DNAT的实现

因为咱们如今IP地址十分紧俏，已经分配完了，这就致使咱们必需要进行地址转换，来节约咱们仅剩的一点IP资源。那么经过iptables如何实现NAT的地址转换呢？

1.SNAT基于原地址的转换

基于原地址的转换通常用在咱们的许多内网用户经过一个外网的口上网的时候，这时咱们将咱们内网的地址转换为一个外网的IP，咱们就能够实现链接其余外网IP的功能。

因此咱们在iptables中就要定义到底如何转换：

定义的样式：

好比咱们如今要将全部192.168.10.0网段的IP在通过的时候全都转换成172.16.100.1这个假设出来的外网地址：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.100.1

这样，只要是来自本地网络的试图经过网卡访问网络的，都会被通通转换成172.16.100.1这个IP.

那么，若是172.16.100.1不是固定的怎么办？

咱们都知道当咱们使用联通或者电信上网的时候，通常它都会在每次你开机的时候随机生成一个外网的IP，意思就是外网地址是动态变换的。这时咱们就要将外网地址换成 MASQUERADE(动态假装):它能够实现自动寻找到外网地址，而自动将其改成正确的外网地址。因此，咱们就须要这样设置：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

这里要注意：地址假装并不适用于全部的地方。

2.DNAT目标地址转换

对于目标地址转换，数据流向是从外向内的，外面的是客户端，里面的是服务器端经过目标地址转换，咱们可让外面的ip经过咱们对外的外网ip来访问咱们服务器不一样的服务器，而咱们的服务却放在内网服务器的不一样的服务器上。

如何作目标地址转换呢？：

iptables -t nat -A PREROUTING -d 192.168.10.18 -p tcp --dport 80 -j DNAT --todestination 172.16.100.2

目标地址转换要作在到达网卡以前进行转换,因此要作在PREROUTING这个位置上

九：控制规则的存放以及开启

注意：你所定义的全部内容，当你重启的时候都会失效，要想咱们可以生效，须要使用一个命令将它保存起来

1.service iptables save 命令

它会保存在/etc/sysconfig/iptables这个文件中

2.iptables-save 命令

iptables-save > /etc/sysconfig/iptables

3.iptables-restore 命令

开机的时候，它会自动加载/etc/sysconfig/iptabels

若是开机不能加载或者没有加载，而你想让一个本身写的配置文件（假设为iptables.2）手动生效的话：

iptables-restore < /etc/sysconfig/iptables.2

则完成了将iptables中定义的规则手动生效

防火墙之地址转换SNAT DNAT

1、SNAT源地址转换。

一、原理：在路由器后（PSOTROUTING）将内网的ip地址修改成外网网卡的ip地址。

二、应用场景：共享内部主机上网。

三、设置SNAT：网关主机进行设置。

（1）设置ip地址等基本信息。

（2）开启路由功能：

sed -i '/ip-forward/s/0/1/g'

sysctl -p

（3）编写规则：

iptables -t nat -I POSTROUTING -o 外网网卡 -s 内网网段 -j SNAT --to-source 外网ip地址 #适用于外网ip地址固定场景

iptables -t nat -I POSTROUTING -o 外网网卡 -s 内网网段 -j MASQUERADE #适用于共享动态ip地址上网（如adsl拨号，dhcp获取外网ip）

（4）作好安全控制：使用FORWARD时机进行控制，严格设置INPUT规则。

2、DNAT目的地址转换：

一、原理：在路由前（PREROUTING）未来自外网访问网关公网ip及对应端口的目的ip及端口修改成内部服务器的ip及端口，实现发布内部服务器。

二、应用场景：发布内部主机服务。

三、设置DNAT：网关主机上设置。

（1）设置ip、开启路由、设置SNAT

（2）编写防火墙规则：

iptables -t nat -I PREROUTING -i 外网网卡 -d 外网ip tcp --dport 发布的端口 -j DNAT --to-destination 内网服务ip:端口

NAT network address translation

仅从报文请求来看，能够分为：

SNAT 源地址转换

DNAT 目标地址转换

PNAT 端口转换

NAT server：能根据须要实现SNAT DNAT PNAT

并不是是用户空间的进程完成转换功能，靠的是内核中的地址转换规则

私有IP客户端访问互联网的方法

SNAT 、PROXY

SNAT：主要用于实现内网客户端访问外部主机时使用（局域网上网用）

定义在POSTROUTING链上

iptables -t nat -A postrouting -s 内部网络地址或主机地址 -j SNAT --to-source NAT服务器上的某外部地址

另一个target

MASQUERADE地址假装（适用于PPPOE拨号上网，假设eth1是出口）

iptables -t nat -A postrouting -s 内部网络或主机地址 -o eth1 -j MASQUERADE

DNAT：主要用于内部服务器被外网访问（发布服务）

定义在PREROUTING

iptables -t nat -A PREROUTING -d NAT服务器的某外部地址 -p 某协议 --dport 某端口 -j DNAT --to-destination 内网服务器地址[:port]

注意：NAT服务器须要打开数据转发

echo 1 > /proc/sys/net/ipv4/ip_forward

或者修改/etc/sysctl.conf net.ipv4.ip_forward = 1

实验操做

SNAT、DNAT

实验一：

SNAT

规划主机A 做为SNAT server

eth0 ip地址172.20.1.10（外部地址），eth1 192.168.1.1（内部地址）

主机B当作局域网内主机

eth0 ip地址192.168.1.2 默认路由要指向192.168.1.1

SNAT server：

[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 172.20.1.10

#上面和咱们实例操做相同

[root@localhost ~]# echo 1 > /proc/sys/net/ipv4/ip_forward

主机B ping外部的其它主机（172.20.1.20模拟互联网上的主机）

DNAT

[root@nat ~]# iptables -t filter -F

[root@nat ~]# iptables -t nat -F

[root@nat ~]# iptables -t nat -A PREROUTING -d 10.1.249.125 -p tcp --dport 80 -j DNAT --to-destination 192.168.2.4

Chain PREROUTING (policy ACCEPT)

target prot opt source destination

DNAT tcp -- 0.0.0.0/0 10.1.249.125 tcp dpt:80 to:192.168.2.4

[root@nat ~]# netstat -tln | grep "\<80\>" 此时本机上并无开放80端口

[root@wai ~]# curl http://10.1.249.125

hello --> 此时咱们访问为 nat 主机上的80端口由上面可知,此服务器上并无开放80,而是将请求送往后端服务器

实体案例

咱们有一台机器A能够上外网，配置eth0=192.168.1.1,eth1=222.13.56.192

有6台机器只有内网IP ，分别是192.168.1.102~192.168.1.108,想让这6台机器经过机器A上网

在机器A 防火墙上配置以下便可

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.101 -j SNAT --to-source 222.13.56.192

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.102 -j SNAT --to-source 222.13.56.192

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.103 -j SNAT --to-source 222.13.56.192

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.104 -j SNAT --to-source 222.13.56.192

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.105 -j SNAT --to-source 222.13.56.192

/sbin/iptables -t nat -I POSTROUTING -s 192.168.1.108 -j SNAT --to-source 222.13.56.192

在 6台机器上路由显示

route -n

Kernel IP routing table

Destination Gateway Genmask Flags Metric Ref Use Iface

192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 em1

169.254.0.0 0.0.0.0 255.255.0.0 U 1002 0 0 em1

0.0.0.0 192.168.1.1 0.0.0.0 UG 0 0 0 em1

   iptables中DNAT转发的配置方法

1.一对一流量彻底DNAT

首先说一下网络环境，普通主机一台作防火墙用，网卡两块

eth0 192.168.0.1 内网

eth1 202.202.202.1 外网

内网中一台主机 192.168.0.101

如今要把外网访问202.202.202.1的全部流量映射到192.168.0.101上

命令以下：

#将防火墙改成转发模式
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -t nat -A PREROUTING -d 202.202.202.1 -j DNAT --to-destination 192.168.0.101

iptables -t nat -A POSTROUTING -d 192.168.0.101 -j SNAT --to 192.168.0.1

2.多对多流量彻底DNAT

说是多对多，实际上这里的配置是指定了多个一对一

环境：
eth0 192.168.0.1 内网

eth1 202.202.202.1 、202.202.202.2 外网

内网中2台主机 192.168.0.10一、192.168.0.102

如今要把外网访问202.202.202.1的全部流量映射到192.168.0.101上，同时把把外网访问202.202.202.2的全部流量映射到192.168.0.102上

这里顺便提一下如何为网卡配置多个IP

ifconfig eth1:1 202.202.202.2 netmask 255.255.255.0 up

#将防火墙改成转发模式
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -t nat -A PREROUTING -d 202.202.202.1 -j DNAT --to-destination 192.168.0.101
iptables -t nat -A POSTROUTING -d 192.168.0.101 -j SNAT --to 192.168.0.1


iptables -t nat -A PREROUTING -d 202.202.202.2 -j DNAT --to-destination 192.168.0.102
iptables -t nat -A POSTROUTING -d 192.168.0.102 -j SNAT --to 192.168.0.1

3.一对多根据协议DNAT

这个最经常使用，通常是内网或DMZ区内有多个应用服务器，能够将不一样的应用流量映射到不一样的服务器上

环境：
eth0 192.168.0.1 内网

eth1 202.202.202.1 外网

内网中2台主机 192.168.0.101（Web服务器）、192.168.0.102（邮件服务器）

如今要把外网访问202.202.202.1的Web流量映射到192.168.0.101上，同时把把外网访问202.202.202.1的邮件访问流量映射到192.168.0.102上

命令以下：

#将防火墙改成转发模式
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT


#Web访问设置
iptables -t nat -A PREROUTING -d 202.202.202.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.101:80
iptables -t nat -A POSTROUTING -d 192.168.0.101 -p tcp --dport 80 -j SNAT --to 192.168.0.1

#邮件访问设置
iptables -t nat -A PREROUTING -d 202.202.202.1 -p tcp --dport 25 -j DNAT --to-destination 192.168.0.102:25
iptables -t nat -A POSTROUTING -d 192.168.0.102 -p tcp --dport 25 -j SNAT --to 192.168.0.1


iptables -t nat -A PREROUTING -d 202.202.202.1 -p tcp --dport 110 -j DNAT --to-destination 192.168.0.102:110
iptables -t nat -A POSTROUTING -d 192.168.0.102 -p tcp --dport 110 -j SNAT --to 192.168.0.1

SNAT：源地址转换,代理内部客户端访问外部网络

目标地址不变，从新改写源地址，并在本机创建NAT表项，当数据返回时，根据NAT表将目的地址数据改写为数据发送出去时候的源地址，并发送给主机，目前基本都是解决内网用户用同一个公网IP地址上网的状况。

DNAT：目标地址转换，将内部服务器发布至外部网络

和SNAT相反，源地址不变，从新修改目标地址，在本机创建NAT表项，当数据返回时，根据NAT表将源地址修改成数据发送过来时的目标地址，并发给远程主机在DNAT的基础上，能够根据请求数据包的端口作PNAT（端口转换，也称为端口映射），能够根据请求数据包不一样的端口改写不一样的目标地址，从而发送给不一样的主机这在用一个公网地址作不一样服务时用的比较多，并且相对来讲，用NAT的方式能够隐藏后端服务器的真实地址，比较安全。

SNAT的数据流向过程

首先进入PREROUTING，发现不是本网段的地址，然后开始查找路由表（查找路由的过程在PREROUTING和FORWARD之间），因而通过FORWARD链进行转发，在经过POSTROUTING时进行NAT转换。在这个流程中，NAT转换的步骤在POSTROUTING链上实现，之因此再也不PREROUTING上作NAT是由于数据包在进来以前，还不知道是本网段地址仍是外网地址。

DNAT的数据流向过程

在DNAT中，NAT要在PREROUTING链上作。在数据进入主机后，路由选择过程是在PREROUTING和FORWARD之间的，因此应该先作地址转换以后再进行路由选择，然后通过FORWARD链，最后从POSTROUTING链出去。

PC1地址：172.16.251.185 网关指向：172.16.251.186

route add default gw 172.16.251.186

route

NAT服务器地址：172.16.251.185

PC2地址：

2、SNAT的实现：

一、在咱们作NAT以前，首先要把NAT服务器的路由功能打开，否则数据包过不了FORWARD链

sysctl -w net.ipv4.ip_forward=1

######也可使用文件永久生效,下面值改成1便可

vim /etc/sysctl.conf

net.ipv4.ip_forward = 1

######执行以下命令让其生效

sysctl -p

二、在NAT服务器添加iptables规则如：

iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -j SNAT --to-source 192.168.254.61

#在POSTROUTING链上面，未来自源地址为172.16.0.0/16网段的数据包的源地址都转换为192.168.254.61

查看iptables规则：

iptables -t nat -L -n -v

三、下面咱们在PC1上作测试，PC1如今就能够Ping通PC2主机了，以下图：

四、PC1 ping PC2，在PC1主机上抓包来测试：

tcpdump -i eth0 -v | grep 192

3、DNAT的实现：

一、在NAT服务器添加iptables规则如：

iptables -t nat -A PREROUTING -d 192.168.254.61 -j DNAT --to-destination 172.16.251.185

#在PREROUTING链上面，将请求地址NAT服务器 eth1 192.168.1.254的数据包所有转发到PC1 172.16.251.185主机上

查看iptables规则：

iptables -t nat -L -n -v

测试：PC1上面作了WEB服务，咱们在PC2上看是否能请求到WEB页面：

请求防火墙eth1地址，192.168.254.61

二、在NAT服务器添加iptables规则如：

iptables -t nat -A PREROUTING -d 192.168.254.61 -p tcp --dport 80 -j DNAT --to-destination 172.16.251.185:8080

#此条规则是将全部请求NAT服务器eth1 192.168.254.61地址的80号端口都转发到172.16.251.185主机上8080端口，固然前提必须在PC1上面监听8080端口

查看iptables规则：

基于动态IP地址来作NAT代理内部客户端来上网

若是IP地址是动态获取的ADSL宽带来作NAT代理上网实现方式

iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -o eth1 -j MASQUEREADE

注释：这里最好使用"-o"选项来指定出口，MASQUEREADE会自动调用该接口的地址做为源地址出去。

2. 先说收DNAT

DNAT目标地址转换在PREROUTING链上作；能够将虚拟机的服务映射到宿主机的ip上，达到访问宿主的 ip就等于访问虚拟机的效果;

iptables -t nat -A PREROUTING -d 192.168.1.51 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.122.2:80

-d 物理机的ip --dport 端口 DNAT 被映射的内网主机ip：端口

应用场景：

这样主要是为了能让内网的主机可以对外提供服务：数据包的第一站 PREROUTING ,匹配到规则就执行规则进行DNAT转发，通过FORWARD ,到达POSTROUTING出站。没有匹配到就进入INPUT，进行匹配

3.再说SNAT

SNAT源地址转换在POSTROUTING链上作; 能够为局域网提供上网服务

iptables -t nat -A PORTROUTING -o br0 -j MASQUERADE

应用场景：

主机上的NAT 虚拟机须要访问物理网路,虚拟机直接经过先通过FORWARD，而后经过POSTROUTING 将源地址转换

4. 再说说不须要通过转换的数据包，如图示绿色的部分，直接到达INPUT-->OUTPUT-->POSTROUTING出来了，好比说我要ssh远程这个主机，走的就是这个流向；

A. 若是想让相对的局域网内服务器对外提供web服务，须要作DNAT规则：

iptables -t nat -A PREROUTING -d 公网IP -p tcp –m tcp --dport 公网端口 -j DNAT --to-destination 内网IP:80

我将外网IP 的80,8080 端口都映射到了内网IP的80端口：

通过PREROUTING 链后还须要通过FORWARD 链，须要在FORWARD这开放提供web服务的80 端口：

iptables -A FORWARD -p tcp -m tcp --dport 80 -j ACCEPT

理论上还须要开放一下--sport 80 , 可是若是已经有下面这个规则了，就不须要了：

这个规则是容许已有链接直接经过；但有大量数据包通过时，能够提升速度！

iptables - I FORWARD –p tcp -m state -- state RELADE,RSTABLISHED - j

看看实际的效果：

B. 固然FORWARD链处，能够对转发进行数据包的过滤，好比我想经过公网服务器的ip，远程ssh链接局域

网内的服务器，就可使用DNAT进行转换内网主机的22端口，可是为了安全，我想限制能够远程的IP地

址：我只想让我一我的能够远程，个人ip是192.168.1.154,内网网段是192.168.122.0/24

DNAT:

iptables -t nat -A PREROUTING -d 192.168.1.51 -p tcp -m tcp --dport 8081 --to-destination 192.168.122.2:22

FORWARD:

iptables -A FORWARD -s 192.168.1.154 -d 192.168.122.0/24 -p tcp -m tcp --dport 22 -j ACCEPT

个人ip地址

在192.168.1.154上 ssh远程一下看看

再到其余的主机上ssh试试看，这个主机ip是192.168.1.20

看的出来FORWARD 上的那个规则生效了。

C. 当内网的主机或本地的虚拟机须要经过本机上网时,须要作SNAT规则：个人环境是虚拟机要经过宿主

机上网，虚拟机以宿主机为网关，虚拟机的网段是192.168.122.0/24，宿主机的网段是

192.168.1.0/24，相对来讲宿主机网段就是外网，虚拟机就是内网。

-j MASQUERADE 是当外网ip不固定时，这个配置 I 能够自动获取外网ip。

iptables -t nat -A POSTROUTING -o br0 -s 内网段/24 -j MASQUERADE

-s配置不是必须的，在真实局域网环境中，也许会有多个局域网段，这时就能够经过-s 配置，指定那个网段能够上网