季侯鸟 发表于 2023-9-3 23:28:23

iptables、共享上网SNAT、端口转发DNAT

iptables、共享上网SNAT、端口转发DNAT

1.防火墙概述

封端⼝,封ip
实现NAT功能
共享上⽹
端⼝映射(端⼝转发),ip映射
2.防火墙

2.1防火墙种类以及使用说明

硬件：整个企业入口
软件：开源软件 网站内部 封ip
iptables
云防火墙
安全组
NAT网关
waf应用防火墙
2.2专有名词

容器、表、链、规则
2.3iptables执行过程

1.防⽕墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进⾏过滤的。
2.如果匹配成功规则，即明确表示是拒绝(DROP)还是接收(ACCEPT)，数据包就不再向下匹配新的规则。
3.如果规则中没有明确表明是阻⽌还是通过的，也就是没有匹配规则，向下进⾏匹配，直到匹配默认规则得到明确的阻⽌还是通过。
4.防⽕墙的默认规则是所有规则都匹配完才会匹配的。
2.4表与链

iptables 是 4表伍链
4表: filter 表 nat表 raw表 mangle表
伍链: INPUTOUTPUT FORWARDPREROUTINGPOSTROUTING
1.filter表
实现防火墙功能：屏蔽或准许端口ip

2.nat表
实现nat功能：实现共享上网 端口映射和ip映射

2.5环境准备及命令

先关闭防火墙
systmectl stop firewalld
systemctl disable firewalld1.安装并启动
yum install iptables-services
   
systemctl enable iptables
systemctl start iptables2.设置开机自启防火墙相关模块
cat >>/etc/rc.local<<EOF
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
EOF

lsmod | egrep 'filter|nat|ipt'5.server02设置iptables
# iptables -nL
Chain INPUT (policy ACCEPT)
target   prot opt source               destination         
ACCEPT   all--0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT   icmp --0.0.0.0/0            0.0.0.0/0         
ACCEPT   all--0.0.0.0/0            0.0.0.0/0         
ACCEPT   tcp--0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT   all--0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target   prot opt source               destination         
REJECT   all--0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target   prot opt source               destination   6.测试
# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target   prot opt source               destination         

Chain INPUT (policy ACCEPT)
target   prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target   prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target   prot opt source               destination 5.端口转发DNAT

在上述snat基础上增加一台机器server03
1.server02添加prerouting规则
# iptables -F
# iptables -X
# iptables -Z
# iptables -nL
Chain INPUT (policy ACCEPT)
target   prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target   prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target   prot opt source               destination    2.server03测试
iptables -t filter -I INPUT -p tcp --dport 22122 -j drop
来源:https://www.cnblogs.com/xuxuxuxuxu/p/17675867.html
免责声明：由于采集信息均来自互联网，如果侵犯了您的权益，请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容，谢谢合作！
页: [1]
查看完整版本: iptables、共享上网SNAT、端口转发DNAT