iptables实现网络防火墙功能,SNAT以及DNAT功能

创新互联公司于2013年创立，是专业互联网技术服务公司，拥有项目成都网站设计、成都做网站网站策划，项目实施与项目整合能力。我们以让每一个梦想脱颖而出为使命，1280元济水街道做网站,已为上家服务,为济水街道各地企业和个人服务,联系电话:028-86922220

一、网络防火墙的实现

1.环境准备：
虚拟机vmware workstation 11
系统CentOS 7.3
        软件包安装:yum install httpd vsftpd tcpdump
2.前提条件
2.1各主机正确设置IP地址/子网掩码
 参考设置:
主机A 网卡ens33：10.0.0.110/24 内网客户端
主机B 网卡ens33：10.0.0.111/24 ens37：172.16.252.52/24 网关服务器
主机C 网卡ens33：172.16.254.52/24 外网服务端
2.2各主机正确设置网关地址
 参考设置:
主机A添加默认路由信息
route add default gw 10.0.0.111
主机C添加路由信息
route add -net 10.0.0.0/24 gw 172.16.252.52
3.推荐实现步骤
开启路由转发功能
在filter表中的FORWARD链中实现
4.要注意的问题
1.请求和响应均会经过FORWARD链，要注意规则的方向性
2.如果要启用conntrack机制，建议双方向的状态为ESTABLISHED的报文直接放行通过
3.配置规则时可使用tcpdump抓包分析数据报文

步骤：

1.主机A添加默认路由信息     route add default gw 10.0.0.111      route -n 2.主机B开启核心转发功能     sysctl -w net.ipv4.ip_forward=1 3.tcpdump抓包测试数据     主机A：ping 172.16.254.52      主机B抓包：tcpdump -i ens33 -nn icmp     测试结果：有10.0.0.110到172.16.254.52的请求报文信息，但没有回应报文信息 4.主机C使用tcpdump抓包测试数据     tcpdump -i ens33 -nn icmp     测试结果：有回应报文信息，但回应报文信息发往给其他主机，因此要设定网关信息 5.主机C添加路由信息     route add -net 10.0.0.0/24 gw 172.16.252.52     route -n 6.主机A ping请求测试     ping 172.16.254.52     测试结果:ping通 7.主机C启动httpd服务         systemctl start httpd.service 8.主机A访问主机C的web页面         curl http://172.16.254.52 #此时应该正常显式页面内容

在上面的基础上搭建网络防火墙

方式一： 9.拒绝所有转发服务         iptables -A FORWARD -j REJECT 10.添加链规则：允许本地主机A访问外网主机C的80端口的服务         iptables -I FORWARD -s 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT 11.添加链规则：允许外网主机C的80端口http服务响应本机         iptables -I FORWARD 2 -d 10.0.0.0/24 -p tcp --sport 80 -j ACCEPT 12.主机A测试能否访问主机C的web页面         curl http://172.16.254.52#此时应该正常显式页面内容 方式二： 9.拒绝所有转发服务         iptables -A FORWARD -j REJECT 10.放行所有建立连接的数据报文         iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT 11.新建一条链规则允许本地主机A访问外网主机C         iptables -I FORWARD 2 -s 10.0.0.0/24 -m state --state NEW -j ACCEPT 12.主机A测试         curl http://172.16.254.52 #此时应该正常显式页面内容 13.添加链规则：允许外网主机C访问本地主机A的80端口的http服务         iptables -I FORWARD 3 -d 10.0.0.110 -p tcp --dport 80 -m state --state NEW -j ACCEPT  14.主机C测试         curl http://10.0.0.110 #此时应该正常显式页面内容 15.添加链规则：允许本机主机A开放更多端口的服务         iptables -R FORWARD 3 -d 10.0.0.110 -p tcp -m multiport --dport 21:23,80 -m state --state NEW -j ACCEPT 16.加载FTP模块(两种方式)         1.modprobe nf_conntrack_ftp         2.vi /etc/sysconfig/iptables-config          IPTABLES_MODULES="nf_conntrack_ftp" 17.建立FTP访问链规则，开放FTP被动模式         iptables -A FORWARD -d 10.0.0.110 -p tcp -m state --state RELATED -j ACCEPT 18.主机C测试         lftp 10.0.0.110         ssh root@10.0.0.110         curl http://10.0.0.110 #此时测试应该都能正常获取信息

二、SNAT转发功能实现

前提条件
各主机正确设置IP地址/子网掩码
 参考设置:
主机A 网卡ens33：10.0.0.110/24 内网客户端
主机B 网卡ens33：10.0.0.111/24 ens37：172.16.252.52/24 网关服务器
主机C 网卡ens33：172.16.254.52/24 外网服务器
各主机正确设置网关地址
 参考设置:
主机A添加默认路由信息
route add default gw 10.0.0.111
主机C添加路由信息
route add -net 10.0.0.0/24 gw 172.16.252.52
推荐实现步骤
1. 开启网关主机的路由转发功能
主机B开启核心转发功能
sysctl -w net.ipv4.ip_forward=1
2. 添加使用SNAT策略的防火墙规则
规则示例
iptables -t nat -I POSTROUTING -j SNAT --to-source 172.16.252.52

3.验证SNAT结果
主机A curl http://172.16.254.52
主机C tail -f /var/log/httpd/access_log #查看到的ip地址应该为主机B的公网地址

三、DNAT转发功能的实现

    前提条件
各主机正确设置IP地址/子网掩码
 参考设置:
主机A 网卡ens33：10.0.0.110/24 内网服务器
主机B 网卡ens33：10.0.0.111/24 ens37：172.16.252.52/24，网关服务器
主机C 网卡ens33：172.16.254.52/24 外网客户端
各主机正确设置网关地址
 参考设置:
主机A添加默认路由信息
route add default gw 10.0.0.111
主机C添加路由信息
route add -net 10.0.0.0/24 gw 172.16.252.52
推荐实现步骤
1. 开启网关主机的路由转发功能
主机B开启核心转发功能
sysctl -w net.ipv4.ip_forward=1
2. 添加使用SNAT策略的防火墙规则
规则示例
iptables -t nat -I PREROUTING  -d 172.16.252.52 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.110
3.验证DNAT结果(主机C访问主机B的公网地址显式的内应该为主机A的web内容)
主机C curl http://172.16.252.52
主机A tail -f /var/log/httpd/access_log #查看到的ip地址应该为外网主机C的地址

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

本文名称：iptables实现网络防火墙功能,SNAT以及DNAT功能-创新互联
网页路径：http://kswjz.com/article/hchci.html