7.1 iptables防火牆

防火牆（FireWall）

隔離功能，工作在網絡或主機邊緣，對進出網絡或主機的數據包基於一定的規則檢查，並在匹配某規則時由規則定義的行爲進行處理的一組功能的組件，基本上的實現都是默認情況下關閉所有的通過型訪問，只開放允許訪問的策略。

防火牆的分類

主機防火牆：服務範圍爲當前主機
網絡防火牆：服務範圍爲防火牆一側的局域網
硬件防火牆：在專用硬件級別實現部分功能的防火牆；另一個部分功能基於軟件實現，Checkpoint,NetScreen
軟件防火牆：運行於通用硬件平臺之上的防火牆的應用軟件
網絡層防火牆：OSI下面第三層

應用層防火牆/代理服務器：代理網關，OSI七層

Netfilter組件

內核中選取五個位置放了五個hook(勾子) 函數(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而這五個hook 函數向用戶開放，用戶可以通過一個命令工具（iptables）向其寫入規則。

由信息過濾表（table）組成，包含控制IP包處理的規則集（rules），規則被分組放在鏈（chain）上。

三種報文流向：

流入本機：PREROUTING --> INPUT-->用戶空間進程
流出本機：用戶空間進程 -->OUTPUT--> POSTROUTING

轉發：PREROUTING --> FORWARD --> POSTROUTING

iptables

命令行工具，工作在用戶空間。

用來編寫規則，寫好的規則被送往 netfilter，告訴內核如何去處理信息包。

iptables的組成

四個表table：filter、nat、mangle、raw

filter表:過濾規則表，根據預定義的規則過濾符合條件的數據包
nat表:network address translation 地址轉換規則表
mangle:修改數據標記位規則表
Raw:關閉NAT表上啓用的連接跟蹤機制，加快封包穿越防火牆速度

五個內置鏈chain

INPUT
OUTPUT
FORWARD
PREROUTING
POSTROUTING

當一個數據包進入網卡時，數據包首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否需要轉送出去。

如果數據包就是進入本機的，數據包就會沿着圖向下移動，到達INPUT鏈。數據包到達INPUT鏈後，任何進程都會收到它。本機上運行的程序可以發送數據包，這些數據包經過OUTPUT鏈，然後到達POSTROUTING鏈輸出

如果數據包是要轉發出去的，且內核允許轉發，數據包就會向右移動，經過FORWARD鏈，然後到達POSTROUTING鏈輸出。

iptables規則添加時考量點

要實現哪種功能：判斷添加在哪張表上
報文流經的路徑：判斷添加在哪個鏈上
報文的流向：判斷源和目的
匹配規則：業務需要

鏈上規則的次序，即爲檢查的次序，因此隱含一定的法則

同類規則(訪問同一應用)，匹配範圍小的放上面
不同類規則(訪問不同應用)，匹配到報文頻率較大的放上面

將那些可由一條規則描述的多個規則合併爲一個

iptables 規則優化

1 安全放行所有入站和出站的狀態爲ESTABLISHED狀態連接

2 謹慎放行入站的新請求
3 有特殊目的限制訪問功能，要在放行規則之前加以拒絕
4 同類規則（訪問同一應用），匹配範圍小的放在前面，用於特殊處理
5 不同類的規則（訪問不同應用），匹配範圍大的放在前面
6 應該將那些可由一條規則能夠描述的多個規則合併爲一條
7 設置默認策略，建議白名單（只放行特定連接）
1） iptables -P，不建議
2）建議在規則的最後定義規則做爲默認策略

語法：iptables [-t table] 子命令 chain [-m 匹配條件 [模塊選項]] -j 處理動作 [模塊選項]

table：

raw, mangle, nat, [filter]默認

子命令：

1、查詢

-L：list, 列出指定鏈上的所有規則，本選項須置後
-n：numberic，以數字格式顯示地址和端口號
-v：verbose，詳細信息
-vv 更詳細
-x：exactly，顯示計數器結果的精確值,而非單位轉換後的易讀值
--line-numbers：顯示規則的序號

[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

-S selected,以iptables-save 命令格式顯示鏈上規則

[root@CentOS74 ~]# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -s 192.168.30.75/32 -p icmp -j REJECT --reject-with icmp-port-unreachable

2、規則管理

-A：append，追加
-I：insert, 插入，要指明插入至的規則編號，默認爲第一條
-D：delete，刪除
    (1) 指明規則序號
    (2) 指明規則本身
-R：replace，替換指定鏈上的指定規則編號
-F：flush，清空指定的規則鏈
-Z：zero，歸零
    (1) 匹配到的報文的個數
    (2) 匹配到的所有報文的大小之和

[root@CentOS74 ~]# iptables -A INPUT -s 192.168.30.75 -p ICMP -j REJECT
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 190 packets, 28390 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     icmp --  *      *       192.168.30.75        0.0.0.0/0            reject-with icmp-port-unreachable

3、鏈管理

-N：new, 自定義一條新的規則鏈
-X：delete，刪除自定義的空的規則鏈
-P：Policy，設置默認策略；對filter表中的鏈而言，其默認策略有：
ACCEPT：接受
DROP：丟棄
-E：重命名自定義鏈；引用計數不爲0的自定義鏈不能夠被重命名，也不能被刪除

[root@CentOS74 ~]# iptables -A INPUT -j WEBCHAIN
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 9 packets, 1612 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    9  1612 WEBCHAIN   all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 576 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain WEBCHAIN (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     tcp  --  *      *       192.168.30.75        0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

匹配條件

基本匹配

-s, --source address[/mask][,...]：源IP地址或範圍
-d, --destination address[/mask][,...]：目標IP地址或範圍
-p, --protocol protocol：指定協議，可使用數字如0（all）
protocol: tcp, udp, icmp, icmpv6, udplite,esp, ah, sctp, mh or “all“ 參看：/etc/protocols
-i, --in-interface name：報文流入的接口；只能應用於數據報文流入環節，只應用於INPUT、FORWARD、PREROUTING鏈
-o, --out-interface name：報文流出的接口；只能應用於數據報文流出的環節，只應用於FORWARD、OUTPUT、POSTROUTING鏈

擴展模塊匹配

隱式擴展：在使用-p選項指明瞭特定的協議時，無需再用-m選項指明擴展模塊的擴展機制，不需要手動加載擴展模塊

--source-port, --sport port[:port]：匹配報文源端口,可爲端口範圍
--destination-port,--dport port[:port]：匹配報文目標端口,可爲端口範圍
--tcp-flags mask comp
mask 需檢查的標誌位列表，用,分隔
comp 在mask列表中必須爲1的標誌位列表，無指定則必須爲0，用,分隔
--syn：用於匹配第一次握手

[root@CentOS74 ~]# iptables -A INPUT -d 192.168.30.74 -p tcp --syn -j REJECT
[root@CentOS74 ~]# iptables -nvL
Chain INPUT (policy ACCEPT 46 packets, 6460 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     tcp  --  *      *       0.0.0.0/0            192.168.30.74        tcp flags:0x17/0x02 reject-with icmp-port-unreachable

顯式模塊：必須使用-m選項指明要調用的擴展模塊的擴展機制，要手動加載擴展模塊。

1、multiport擴展：以離散方式定義多端口匹配,最多指定15個端口

--source-ports,--sports port[,port|,port:port]... 指定多個源端口
--destination-ports,--dports port[,port|,port:port]... 指定多個目標端口
--ports port[,port|,port:port]... 多個源或目標端口

[root@CentOS74 ~]# iptables -A INPUT -s 192.168.30.0/24 -p tcp -m multiport --dport 20:22,80 -j REJECT 
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 17 packets, 4947 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  299 28160 ACCEPT     tcp  --  *      *       192.168.30.1         0.0.0.0/0            tcp dpt:22  
    0     0 REJECT     tcp  --  *      *       192.168.30.0/24      0.0.0.0/0            multiport dports 20:22,80 reject-with icmp-port-unreachable

2、iprange擴展：指明連續的ip地址範圍

--src-range from[-to] 源IP地址範圍
--dst-range from[-to] 目標IP地址範圍

[root@CentOS74 ~]# iptables -A INPUT -d 192.168.30.74 -p icmp -m iprange --src-range 192.168.30.1-192.168.30.254 -j DROP
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 126 packets, 19560 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  843 76916 ACCEPT     tcp  --  *      *       192.168.30.1         0.0.0.0/0            tcp dpt:22
    5   420 DROP       icmp --  *      *       0.0.0.0/0            192.168.30.74        source IP range 192.168.30.1-192.168.30.254

3、mac擴展：指明源MAC地址

--mac-source XX:XX:XX:XX:XX:XX

[root@CentOS74 ~]# iptables -A INPUT -s 192.168.30.69 -p icmp -m mac --mac-source 00:0c:29:0a:6e:44 -j DROP
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 8 packets, 2328 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1381  132K ACCEPT     tcp  --  *      *       192.168.30.1         0.0.0.0/0            tcp dpt:22
    0     0 DROP       icmp --  *      *       192.168.30.69        0.0.0.0/0            MAC 00:0C:29:0A:6E:44

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 12 packets, 1360 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@CentOS74 ~]# iptables -R INPUT 2 -s 192.168.30.75 -p icmp -m mac --mac-source 00:0c:29:0a:6e:44 -j DROP

只有源IP與源MAC同時相同時纔會匹配規則

4、string擴展：對報文中的應用層數據做字符串模式匹配檢測

--algo {bm|kmp}：字符串匹配檢測算法
bm：Boyer-Moore
kmp：Knuth-Pratt-Morris
--from offset 開始偏移
--to offset 結束偏移
--string pattern：要檢測的字符串模式
--hex-string pattern：要檢測字符串模式，16進制格式

[root@CentOS74 ~]# iptables -R INPUT 2 -p tcp --sport 80 -m string --algo bm --string "mark" -j REJECT 
[root@CentOS74 ~]# curl 192.168.30.75
^C
[root@CentOS74 ~]# curl 192.168.30.174
This is a homepage!

5、time擴展：根據將報文到達的時間與指定的時間範圍進行匹配

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]] 日期
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--timestart hh:mm[:ss] 時間
--timestop hh:mm[:ss]
--monthdays day[,day...] 每個月的幾號
--weekdays day[,day...] 星期幾
--kerneltz：內核時區，不建議使用，CentOS7系統默認爲UTC

[root@CentOS74 ~]# iptables -A INPUT -s 192.168.30.0/24 -p tcp --sport 80 -m time --timestart 23:00 --timestop 11:00 --weekdays Sun,Mon -j DROP
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 21 packets, 3554 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       tcp  --  *      *       192.168.30.0/24      0.0.0.0/0            tcp spt:80 TIME from 23:00:00 to 11:00:00 on Mon,Sun UTC

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 6 packets, 1024 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@CentOS74 ~]# curl 192.168.30.75
^C

6、connlimit擴展：根據每客戶端IP做併發連接數數量匹配

--connlimit-upto n：連接的數量小於等於n時匹配
--connlimit-above n：連接的數量大於n時匹配

[root@CentOS74 ~]# iptables -A INPUT -d 192.168.30.74 -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 10 packets, 1664 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     tcp  --  *      *       0.0.0.0/0            192.168.30.74        tcp dpt:22 #conn src/32 > 2 reject-with icmp-port-unreachable

7、limit擴展：基於收發報文的速率做匹配

--limit rate[/second|/minute|/hour|/day]：限制的速率
--limit-burst number：不限制流量的最大值

[root@CentOS74 ~]# iptables -A INPUT -d 192.168.30.74 -p icmp --icmp-type 8 -m limit --limit 10/minute --limit-burst 5 -j ACCEPT
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   56  6125 ACCEPT     all  --  *      *       192.168.30.1         0.0.0.0/0           
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.30.74        icmptype 8 limit: avg 10/min burst 5
  340 80397 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

8、state擴展：根據”連接追蹤機制“去檢查連接的狀態，較耗資源

狀態：

NEW：新發出請求；連接追蹤信息庫中不存在此連接的相關信息條目，因此，將其識別爲第一次發出的請求
ESTABLISHED：NEW狀態之後，連接追蹤信息庫中爲其建立的條目失效之前期間內所進行的通信狀態
RELATED：新發起的但與已有連接相關聯的連接，如：ftp協議中的數據連接與命令連接之間的關係
INVALID：無效的連接，如flag標記不正確

UNTRACKED：未進行追蹤的連接，如raw表中關閉追蹤

--state state

[root@CentOS74 ~]# iptables -A INPUT -d 192.168.30.74 -p tcp --dport 22 -m state --state NEW -j REJECT 
[root@CentOS74 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 57 packets, 13643 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    60 REJECT     tcp  --  *      *       0.0.0.0/0            192.168.30.74        tcp dpt:22 state NEW reject-with icmp-port-unreachable

已經追蹤到的並記錄下來的連接信息庫 /proc/net/nf_conntrack
不同的協議的連接追蹤時長 /proc/sys/net/netfilter/

iptables的鏈接跟蹤表最大容量爲 /proc/sys/net/nf_conntrack_max，各種狀態的超時鏈接會從表中刪除；當模板滿載時，後續連接可能會超時。

使用狀態追蹤需要加載 nf_conntrack 模塊。nf_conntrack 模塊會在使用 state 選項時會自動加載該模塊。

實現被動模式 ftp 服務的跟蹤

[root@CentOS74 ~]# modprobe nf_conntrack_ftp        #加載ftp報文跟蹤模塊
[root@CentOS74 ~]# lsmod | grep nf_conntrack_ftp    #查看是否加載
nf_conntrack_ftp       18638  0 
nf_conntrack          133387  4 xt_connlimit,xt_conntrack,nf_conntrack_ftp,nf_conntrack_ipv4
[root@CentOS74 ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允許正在連接和有關聯的連接
[root@CentOS74 ~]# iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT  #允許目標端口是22的新建連接
[root@CentOS74 ~]# iptables -nvL
Chain INPUT (policy ACCEPT 47 packets, 10026 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   39  3132 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:21 state NEW

需要下次開機自動加載模塊，可以在 /etc/sysconfig/iptables-config 中

IPTABLES_MODULES=“nf_conntrack_ftp"   #iptables加載的模塊

保存規則

使用iptables命令定義的規則，手動刪除之前，其生效期限爲kernel存活期限

CentOS 6

使用 service iptables save 將規則覆蓋保存至 /etc/sysconfig/iptables 文件中

service iptables restart 會自動從 /etc/sysconfig/iptables 重新載入規則

CentOS 7

iptables-save > 規則文件路徑

iptables-restore < 規則文件路徑 重載文件中的規則

-n, --noflush：不清除原有規則
-t, --test：僅分析生成規則集，但不提交

NAT

NAT英文全稱是“Network Address Translation”，中文意思是“網絡地址轉換”，允許一個整體機構以一個公用 IP（Internet Protocol）地址出現在 Internet 上。顧名思義，它是一種把內部私有網絡地址（IP地址）翻譯成合法網絡IP地址的技術，如下圖所示。因此我們可以認爲，NAT 在一定程度上，能夠有效的解決公網地址不足的問題。

簡單地說，NAT 就是在局域網內部網絡中使用內部地址，而當內部節點要與外部網絡進行通訊時，就在網關處，將內部地址替換成公用地址，從而在外部公網上正常使用，NAT 可以使多臺計算機共享 Internet 連接，這一功能很好地解決了公共 IP地址緊缺的問題。通過這種方法，可以只申請一個合法IP地址，就把整個局域網中的計算機接入Internet中。這時，NAT 屏蔽了內部網絡，所有內部網計算機對於公共網絡來說是不可見的，而內部網計算機用戶通常不會意識到 NAT 的存在。如下圖所示。這裏提到的內部地址，是指在內部網絡中分配給節點的私有IP地址，這個地址只能在內部網絡中使用，不能被路由轉發。

NAT 的分類

NAT 有三種類型：靜態NAT(Static NAT)、動態地址NAT(Pooled NAT)、網絡地址端口轉換NAPT（Port-Level NAT）。

靜態 NAT：通過手動設置，使 Internet 客戶進行的通信能夠映射到某個特定的私有網絡地址和端口。

動態 NAT：動態地址NAT只是轉換IP地址，它爲每一個內部的IP地址分配一個臨時的外部IP地址。當遠程用戶聯接上之後，動態地址NAT就會分配給他一個IP地址，用戶斷開時，這個IP地址就會被釋放而留待以後使用。

網絡地址端口轉換NAPT：則是把內部地址映射到外部網絡的一個IP地址的不同端口上。它可以將中小型的網絡隱藏在一個合法的IP地址後面。NAPT與動態地址NAT不同，它將內部連接映射到外部網絡中的一個單獨的IP地址上，同時在該地址上加上一個由NAT設備選定的端口號。

NAPT是使用最普遍的一種轉換方式，它又包含兩種轉換方式：SNAT和DNAT。

SNAT：修改數據包的源地址。源NAT改變第一個數據包的來源地址，它永遠會在數據包發送到網絡之前完成。

DNAT：修改數據包的目的地址。DNAT剛好與SNAT相反，它是改變第一個數據包的目的地地址。

SNAT 配置

iptables -t nat -A POSTROUTING -s 源地址 -d 目標地址 -j SNAT --to-source 轉換後地址

--to-source [ipaddr[-ipaddr]][:port[-port]]：地址範圍
--random：

[root@CentOS74 ~]# iptables -t nat -R POSTROUTING 1 -s 192.168.30.0/24 -d 172.20.0.0/16 -j SNAT --to-source 172.20.116.3
[root@CentOS74 ~]# iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 1 packets, 33 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 1 packets, 33 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 SNAT       all  --  *      *       192.168.30.0/24      172.20.0.0/16        to:172.20.116.3

查看內網主機的路由表

[root@CentOS75 ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.30.74   0.0.0.0         UG    0      0        0 ens33
192.168.30.0    0.0.0.0         255.255.255.0   U     100    0        0 ens33

在內網主機上訪問外網主機上的80端口

[root@CentOS174 ~]# tcpdump -i ens37 -nn port 80
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens37, link-type EN10MB (Ethernet), capture size 262144 bytes
18:50:33.756442 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [S], seq 2273515623, win 29200, options [mss 1460,sackOK,TS val 5178275 ecr 0,nop,wscale 7], length 0
18:50:33.756480 IP 172.20.116.6.80 > 172.20.116.3.47102: Flags [S.], seq 2994186056, ack 2273515624, win 28960, options [mss 1460,sackOK,TS val 5181839 ecr 5178275,nop,wscale 7], length 0
18:50:33.757018 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [.], ack 1, win 229, options [nop,nop,TS val 5178276 ecr 5181839], length 0
18:50:33.757055 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [P.], seq 1:77, ack 1, win 229, options [nop,nop,TS val 5178276 ecr 5181839], length 76: HTTP: GET / HTTP/1.1
18:50:33.757089 IP 172.20.116.6.80 > 172.20.116.3.47102: Flags [.], ack 77, win 227, options [nop,nop,TS val 5181840 ecr 5178276], length 0
18:50:33.758517 IP 172.20.116.6.80 > 172.20.116.3.47102: Flags [P.], seq 1:264, ack 77, win 227, options [nop,nop,TS val 5181841 ecr 5178276], length 263: HTTP: HTTP/1.1 200 OK
18:50:33.759453 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [.], ack 264, win 237, options [nop,nop,TS val 5178278 ecr 5181841], length 0
18:50:33.759469 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [F.], seq 77, ack 264, win 237, options [nop,nop,TS val 5178279 ecr 5181841], length 0
18:50:33.760748 IP 172.20.116.6.80 > 172.20.116.3.47102: Flags [F.], seq 264, ack 78, win 227, options [nop,nop,TS val 5181843 ecr 5178279], length 0
18:50:33.763549 IP 172.20.116.3.47102 > 172.20.116.6.80: Flags [.], ack 265, win 237, options [nop,nop,TS val 5178281 ecr 5181843], length 0

動態SNAT配置

iptables -t nat -A POSTROUTING -s 源地址 -d 目標地址 -j MASQUERADE

--to-ports port[-port]
--random

[root@CentOS74 ~]# iptables -t nat -A POSTROUTING -s 192.168.30.0/24 -d 172.20.0.0/16 -j MASQUERADE
[root@CentOS74 ~]# iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      *       192.168.30.0/24      172.20.0.0/16

DNAT配置

iptables -t nat -A PREROUTING -d 目標地址 -p tcp|udp --dport PORT -j DNAT --to-destination 轉換後地址[:端口]

[root@CentOS74 ~]# iptables -t nat -R PREROUTING 1 -d 192.168.30.74 -p tcp --dport 80 -j DNAT --to-destination 192.168.30.75
[root@CentOS74 ~]# iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 6 packets, 947 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    60 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.30.74        tcp dpt:80 to:192.168.30.75

查看內網 index.html 文件

[root@CentOS75 ~]# cat /var/www/html/index.html 
This is a mark!
[root@CentOS75 ~]# systemctl start httpd

在外網訪問路由器的80端口

[root@CentOS174 ~]# curl 192.168.30.74
This is a mark!

轉發：通過改變目標IP和端口，將接受的包轉發至不同端口

iptables -t nat -A PREROUTING -d 目標地址 -p tcp --dport 目標端口 -j REDIRECT --to-ports 轉發端口

[root@CentOS74 ~]# iptables -t nat -A PREROUTING -d 192.168.30.74 -p tcp --dport 8080 -j REDIRECT --to-ports 80
[root@CentOS74 ~]# iptables -t nat -vnL
Chain PREROUTING (policy ACCEPT 17 packets, 1502 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    60 REDIRECT   tcp  --  *      *       0.0.0.0/0            192.168.30.74        tcp dpt:8080 redir ports 80

訪問主機的8080端口

[root@CentOS75 ~]# curl 192.168.30.74:8080
This is httpd:80

7.1 iptables防火牆

防火牆（FireWall）

Netfilter組件

iptables

NAT

1.2 負載均衡：Linux Virtual Server之TUN、ldirectord

5 rsyslog日誌管理

1.1 均衡負載：Linux Virtual Server之NAT、DR

4.2 DNS服務進階

3.2.1 運維自動化之ansible模塊

Mac下配置sublime實現LaTeX

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結