2. 程式人生 > >iptables的nat表應用（默認路由指向、端口映射）

iptables的nat表應用（默認路由指向、端口映射）

阿新 • • 發佈：2018-01-26
查詢 localhost hat state icm cat ttl tab rop

iptables nat表應用

nat表應用

A機器：雙網卡，ens33（ip：192.168.188.2）、ens37（ip：192.168.100.1），網卡ens33可以使用外網，網卡ens37只能用內網；
B機器：單網卡ens37（ip：192.168.100.100），可以與A機器的ens37相連通信；
C機器：單網卡ens37（ip：192.168.100.101），與B機器連接；

NAT默認路由指向

需求1：讓B機器連接外網；
也就是將0.0.0.0/0網段指向A機器的ens33網卡的下一跳，即可實現192.168.100.0/24上網；

1、打開端口轉發模式

查詢（將 /proc/sys/net/ipv4/ip_forward設置為1為轉發，默認為0）；

[root@shu-test ~]# cat /proc/sys/net/ipv4/ip_forward
0
[root@shu-test ~]#

打開端口轉發

echo "1" > /proc/sys/net/ipv4/ip_forward

[root@shu-test ~]# echo "1" > /proc/sys/net/ipv4/ip_forward
[root@shu-test ~]# cat /proc/sys/net/ipv4/ip_forward
1
[root@shu-test ~]#

2、在機器A上增加規則

（記住B機器的網關必須指向機器A的ens37也就是192.168.100.1）


iptables -t nat -D POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

在機器A上增加nat 將源地址192.168.100.0/24的所有路由（數據包）指向ens33出去

[root@shu-test ~]# iptables -F
[root@shu-test ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 659 packets, 67162 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain INPUT (policy ACCEPT 18 packets, 1935 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 50 packets, 3782 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain POSTROUTING (policy ACCEPT 50 packets, 3782 bytes)
pkts bytes target     prot opt in     out     source               destination         
   42  3201 MASQUERADE  all  --  *      ens33   192.168.100.0/24     0.0.0.0/0           
[root@shu-test ~]#

3、測試：

如果能ping通機器A的ens33網卡，而ping不通外網，可以清空下iptables -F配置的規則；
機器B上ping www.hao123.com

[root@localhost ~]# ping 192.168.188.1
PING 192.168.188.1 (192.168.188.1) 56(84) bytes of data.
64 bytes from 192.168.188.1: icmp_seq=1 ttl=127 time=1.58 ms
64 bytes from 192.168.188.1: icmp_seq=2 ttl=127 time=0.814 ms
^C
--- 192.168.188.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 0.814/1.199/1.585/0.387 ms
[root@localhost ~]# ping www.hao123.com
PING hao123.n.shifen.com (112.34.111.167) 56(84) bytes of data.
64 bytes from 112.34.111.167 (112.34.111.167): icmp_seq=1 ttl=127 time=31.1 ms
64 bytes from 112.34.111.167 (112.34.111.167): icmp_seq=2 ttl=127 time=31.5 ms
64 bytes from 112.34.111.167 (112.34.111.167): icmp_seq=3 ttl=127 time=31.2 ms
^C
--- hao123.n.shifen.com ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 31.116/31.291/31.502/0.159 ms
[root@localhost ~]#

端口映射

需求2：C機器只能和A通信，讓C機器可以直接通過B機器22端口；（端口映射）

1、打開A機器的端口轉發功能；

echo "1" > /proc/sys/net/ipv4/ip_forward

[root@localhost ~]# echo "1" > /proc/sys/net/ipv4/ip_forward
[root@localhost ~]# cat /proc/sys/net/ipv4/ip_forward
1
[root@localhost ~]#

2、清空和刪除所有配置

使用iptables -F與 -D 命令，詳情見前文章

3、在A機器上添加規則

iptables -t nat -A PREROUTING -d 192.168.188.2 -p tcp --dport 1122 -j DNAT --to 192.168.100.101:22
將192.168.100.101的22端口 映射到A機器的ens33的1122端口上，
使外網通過訪問192.168.188.2:1122來達到訪問機器C（ip：192.168.100.101）的22端口；

[root@shu-test ~]# iptables -t nat -A PREROUTING -d 192.168.188.2 -p tcp --dport 1122 -j DNAT --to 192.168.100.101:22
[root@shu-test ~]#
[root@shu-test ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 13 packets, 1072 bytes)
pkts bytes target     prot opt in     out     source               destination         
    5   260 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.188.2        tcp dpt:1122 to:192.168.100.101:22
Chain INPUT (policy ACCEPT 6 packets, 549 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 2 packets, 152 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain POSTROUTING (policy ACCEPT 7 packets, 412 bytes)
pkts bytes target     prot opt in     out     source               destination         
  113  8561 MASQUERADE  all  --  *      ens33   192.168.100.0/24     0.0.0.0/0           
[root@shu-test ~]#

4、在A機器上添加回包規則

iptables -t nat -A POSTROUTING -s 192.168.100.101 -j SNAT --to 192.168.188.2
將從192.168.100.101的過來的包，返回給192.168.188.2；
有來有回

[root@shu-test ~]# iptables -t nat -A POSTROUTING -s 192.168.100.101 -j SNAT --to 192.168.188.2
[root@shu-test ~]# iptables -t nat -nvL
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
    5   260 DNAT       tcp  --  *      *       0.0.0.0/0            192.168.188.2        tcp dpt:1122 to:192.168.100.101:22
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
  122  9236 MASQUERADE  all  --  *      ens33   192.168.100.0/24     0.0.0.0/0           
    0     0 SNAT       all  --  *      *       192.168.100.101      0.0.0.0/0            to:192.168.188.2
[root@shu-test ~]#

5、測試

在Windows本機測試（使用tcping工具）

C:\Users\Administrator.USER-20170617IG>tcping 192.168.188.2 1122
Probing 192.168.188.2:1122/tcp - Port is open - time=24.733ms
Probing 192.168.188.2:1122/tcp - Port is open - time=4.718ms
Probing 192.168.188.2:1122/tcp - Port is open - time=4.639ms
Probing 192.168.188.2:1122/tcp - Port is open - time=4.886ms
Ping statistics for 192.168.188.2:1122
     4 probes sent.
     4 successful, 0 failed.
Approximate trip times in milli-seconds:
     Minimum = 4.639ms, Maximum = 24.733ms, Average = 9.744ms

C:\Users\Administrator.USER-20170617IG>ping 192.168.100.101
正在 Ping 192.168.100.101 具有 32 字節的數據:
請求超時。
請求超時。
請求超時。
請求超時。
192.168.100.101 的 Ping 統計信息:
    數據包: 已發送 = 4，已接收 = 0，丟失 = 4 (100% 丟失)，
C:\Users\Administrator.USER-20170617IG>

在Windows上直接ssh 192.168.188.2：1122 

Connecting to 192.168.188.2:1122...
Connection established.
To escape to local shell, press ‘Ctrl+Alt+]‘.
Last login: Thu Jan 25 22:22:33 2018 from 192.168.188.1
[root@shu002 ~]# w
23:02:45 up 43 min,  2 users,  load average: 0.00, 0.01, 0.05
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     tty1                      22:20   11:09   0.29s  0.29s -bash
root     pts/0    192.168.188.1    23:02    5.00s  0.07s  0.04s w
[root@shu002 ~]#
[root@shu002 ~]# ifconfig
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        ether 00:0c:29:20:41:c3  txqueuelen 1000  (Ethernet)
        RX packets 636  bytes 67857 (66.2 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 333  bytes 45907 (44.8 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
ens37: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.100.101  netmask 255.255.255.0  broadcast 192.168.100.255
        inet6 fe80::d347:6274:ae3f:7255  prefixlen 64  scopeid 0x20<link>
        inet6 fe80::f39c:81b9:efac:5b41  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:20:41:cd  txqueuelen 1000  (Ethernet)
        RX packets 289  bytes 27155 (26.5 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 341  bytes 34283 (33.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1  (Local Loopback)
        RX packets 72  bytes 5712 (5.5 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 72  bytes 5712 (5.5 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@shu002 ~]#

一次性定義iptables規則

創建文件


vi /usr/local/sbin/iptables.sh

內容：

#! /bin/bash
ipt="/usr/sbin/iptables"
$ipt -F
$ipt -P INPUT DROP
$ipt -P OUTPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$ipt -A INPUT -s 192.168.188.0/24 -p tcp --dport 22 -j ACCEPT
$ipt -A INPUT -p tcp --dport 80 -j ACCEPT
$ipt -A INPUT -p tcp --dport 21 -j ACCEPT

執行文件


sh /usr/local/sbin/iptables.sh

測試：

可以ssh該機器的22端口，但不能ping通（icmp被禁）；

[root@shu-test ~]# iptables -nvL
Chain INPUT (policy DROP 12 packets, 936 bytes)
pkts bytes target     prot opt in     out     source               destination         
   91  7272 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       192.168.133.0/24     0.0.0.0/0            tcp dpt:22
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:21
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 72 packets, 8232 bytes)
pkts bytes target     prot opt in     out     source               destination         
[root@shu-test ~]#
C:\Users\Administrator.USER-20170617IG>ping 192.168.188.2
正在 Ping 192.168.188.2 具有 32 字節的數據:
請求超時。
請求超時。
請求超時。
請求超時。
192.168.188.2 的 Ping 統計信息:
    數據包: 已發送 = 4，已接收 = 0，丟失 = 4 (100% 丟失)，
C:\Users\Administrator.USER-20170617IG>

意義：拒絕所有，只放行192.168.133.0/24的22端口，允許訪問80端口與21端口；

iptables的nat表應用（默認路由指向、端口映射）

相關推薦

iptables的nat表應用（默認路由指向、端口映射）

查詢 localhost hat state icm cat ttl tab rop iptables nat表應用 nat表應用 A機器：雙網卡，ens33（ip：192.168.188.2）、ens37（ip：192.168.100.1），網卡ens33可以使用外網，

iptables filter表 案例、iptables nat表的路由功能 、端口映射

iptables linux filter linux iptables 具體詳解：http://www.cnblogs.com/nfyx/p/9017597.html 具體詳解：http://www.cnblogs.com/nfyx/p/9017597.htmliptable

思科項目1實戰（vlan、靜態，單臂，浮動路由、vrrp/standby、nat、端口映射，遠程等)

vlan vrrp 單臂路由 nat pc配地址：C1192.168.10.10192.168.10.1C2192.168.20.10192.168.20.1C3192.168.10.20192.168.10.1C4192.168.20.20192.168.20.1需求1：SW1(config

企業邊界網絡設備的一般配置：ACL、端口復用（PAT）、端口映射

pat acl 端口映射 華為 思科 一、概述：企業的邊界網絡設備一般是路由器或者多層交換機，主要實現的功能如下：（1）實現內網部分設備訪問外網；（2）客戶從公網訪問企業內網的Web服務器等；（3）運維人員從外網訪問企業內部的部分設備進行遠程維護。其中第一項功能需求通過ACL和端口復用（P

input type = number 去除上下箭頭，禁用滾輪事件（默認的自帶滾輪加減數字）

listen class mouse prevent HA scrollbar 圖標 web bar <style type="text/css"> /*盒子大小從邊框開始計算*/ html * { box-sizing: bo

2、阿裏雲ECS發送郵件到騰訊企業郵箱（ECS默認不開啟25端口）

content 鏈接 mat display 位置 mtp pri 監控 文件 阿裏雲ECS默認禁用25端口導致發郵件失敗。 方法一： 使用shell腳本發送郵件，需要配置mailx 1、安裝軟件 yum install mailx 2、配置 vim /etc/

解決Win10默認占用80端口

提示 sys pro blog 系統 cmd publish system top 方案1: 以管理員身份運行cmd;輸入net stop http;如果提示是否真的需要停止這些服務,則選擇“Y”;完成後輸入:sc config http start=disable

Docker（八）：Docker端口映射

oot gre 指定 con 指定端口 docker ner 查看 names 1、隨機映射 　　docker run -P -d --name mynginx1 nginx 　　[[email protected] ~]# docker ps -l 　　　　CO

思科動態nat的應用,以及端口映射,外網的遠程管理,dhcp的架設

由器 routing 必須 註意 select 打開 add 遠程登錄 查找 動態nat的應用,以及端口映射,外網的遠程管理,dhcp的架設實驗拓撲圖:3.配置思路: 首先把內網配通,然後在網關設備R1上做nat的應用, #

配置防火墻端口映射（VIP）

配置 固定 找到 img 說明 選項 轉發 多個 itl 外部IP地址的選項填寫說明：如果外網地址是固定IP的話，將要映射的具體外部IP地址填寫上去；如果外網地址是撥號自動獲取的話，則在外部IP地址的選項上填寫0.0.0.0，以下場景模擬的是撥號線路的情況。1. 定義好具體

Docker學習筆記-（2）端口映射

alloc interface 通信 div 可靠的 -s 學習 The 選項 二、Docker端口映射 容器端口只能本地訪問外，並且 ip 在容器每次啟動的時候都會改變。 Docker 解決了容器的這兩個問題，並且給容器內部服務的訪問提供了一個簡單而可靠的方法。Docke

Juniper srx 240 端口映射\N個ISP出口 之 “浮動路由+指定資源走指定線路”

-i 區域 tina oba app sessions 1.2 global col 172.18.18.42 port 2020、2009 ISP_IP Port XXXX、XXXX172.18.18.45 port 2020、2009 ISP_IP Port

路由器的基本原理與配置命令（靜態路由和默認路由）

路由技術 路由表 route命令 路由環路 楊書凡 路由器工作在OSI參考模型的網絡層，它的重要作用是為數據包選擇最佳路徑，最終送達目的地。那麽路由器是怎樣選擇路徑的呢？如果主機A要和主機B通信，就需要一種方法判斷源主機和目標主機所經過的最佳路徑，從而進行數據轉發，這就是路由技術。

默認路由配置實現全網互通。（華為）

ati oss abi code -o p地址 net add face 實驗目的：配置接口IP地址並通過靜態路由、默認路由配置實現全網互通。實驗步驟：1.先給PC配置不同網段的IP地址；2.配置路由器實現全網互通；配置命令：路由器AR1： <Huawei>s

默認路由與浮動路由，交換機配置（筆記）

switch interface 類型 前綴 網絡 配置ip fig port 鏈路狀態 一，默認路由默認路由是一種特殊的靜態路由，只有從路由表中找不到任何明確匹配的路由條目時，才會使用默認路由配置默認路由：當訪問Internet時，一些網絡出口只有一個，此時沒有必要配置。

每天一點點之vue框架開發 - vue-router路由進階（路由別名、跳轉、設置默認路由）

跳轉 創建 mage 分享圖片 const oot ons dir info 路由別名 別名的作用：防止文件路徑泄露 使用之前顯示如下： 使用別名後就只會顯示到域名，後面的文件是不會顯示的，這就起到保護的作用了 在main.js中的路由中添加name來創建別

默認路由和網絡地址轉換（NAT）

實驗 enable ip route 路由 packet com pac 很多 使用 我們要連接外網時，外網的網段很多很多，我們該如何愉快地連接外網？下面我們通過Cisco packet模擬環境，並了解NAT和默認路由的使用； 實驗環境布置 Router0: Rout

ci 3.0 默認路由放在子文件夾 無法訪問的解決辦法

字符 spa 分享 eth 賦值 details nbsp cto -c 本文轉自:http://blog.csdn.net/sinat_37328421/article/details/69267166 比方說你想配置默認路由為： $route[‘

路由技術之 靜態路由與默認路由

靜態路由 默認路由 路由技術之 靜態路由與默認路由1.簡單理解靜態路由：手動添加一條路由信息，格式如：R1(config)#ip route 1.1.1.0 [想要聯通的網段] 255.255.255.0 [網段的子網掩碼] 2.2.2.2 [本路由器的出接口或與本路由器出接口連接的那個路由器接口的i

linux系統添加子接口和默認路由並開機啟動

linux vi rc.local linux系統添加子接口和默認路由並開機啟動[[email protected]/* */ ~]# vi /etc/rc.localifconfig adeth3:1 172.16.1.66/26route add default gw 172.16