iptables实现网络防火墙功能,SNAT以及DNAT功能
一、网络防火墙的实现
步骤：
1.主机A添加默认路由信息 route add default gw 10.0.0.111 route -n 2.主机B开启核心转发功能 sysctl -w net.ipv4.ip_forward=1 3.tcpdump抓包测试数据 主机A：ping 172.16.254.52 主机B抓包：tcpdump -i ens33 -nn icmp 测试结果：有10.0.0.110到172.16.254.52的请求报文信息，但没有回应报文信息 4.主机C使用tcpdump抓包测试数据 tcpdump -i ens33 -nn icmp 测试结果：有回应报文信息，但回应报文信息发往给其他主机，因此要设定网关信息 5.主机C添加路由信息 route add -net 10.0.0.0/24 gw 172.16.252.52 route -n 6.主机A ping请求测试 ping 172.16.254.52 测试结果:ping通 7.主机C启动httpd服务 systemctl start httpd.service 8.主机A访问主机C的web页面 curl http://172.16.254.52 #此时应该正常显式页面内容在上面的基础上搭建网络防火墙
方式一： 9.拒绝所有转发服务 iptables -A FORWARD -j REJECT 10.添加链规则：允许本地主机A访问外网主机C的80端口的服务 iptables -I FORWARD -s 10.0.0.0/24 -p tcp --dport 80 -j ACCEPT 11.添加链规则：允许外网主机C的80端口http服务响应本机 iptables -I FORWARD 2 -d 10.0.0.0/24 -p tcp --sport 80 -j ACCEPT 12.主机A测试能否访问主机C的web页面 curl http://172.16.254.52#此时应该正常显式页面内容 方式二： 9.拒绝所有转发服务 iptables -A FORWARD -j REJECT 10.放行所有建立连接的数据报文 iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT 11.新建一条链规则允许本地主机A访问外网主机C iptables -I FORWARD 2 -s 10.0.0.0/24 -m state --state NEW -j ACCEPT 12.主机A测试 curl http://172.16.254.52 #此时应该正常显式页面内容 13.添加链规则：允许外网主机C访问本地主机A的80端口的http服务 iptables -I FORWARD 3 -d 10.0.0.110 -p tcp --dport 80 -m state --state NEW -j ACCEPT 14.主机C测试 curl http://10.0.0.110 #此时应该正常显式页面内容 15.添加链规则：允许本机主机A开放更多端口的服务 iptables -R FORWARD 3 -d 10.0.0.110 -p tcp -m multiport --dport 21:23,80 -m state --state NEW -j ACCEPT 16.加载FTP模块(两种方式) 1.modprobe nf_conntrack_ftp 2.vi /etc/sysconfig/iptables-config IPTABLES_MODULES="nf_conntrack_ftp" 17.建立FTP访问链规则，开放FTP被动模式 iptables -A FORWARD -d 10.0.0.110 -p tcp -m state --state RELATED -j ACCEPT 18.主机C测试 lftp 10.0.0.110 ssh root@10.0.0.110 curl http://10.0.0.110 #此时测试应该都能正常获取信息二、SNAT转发功能实现
三、DNAT转发功能的实现
另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。
