2. 程式人生 > >iptables配置——NAT地址轉換

iptables配置——NAT地址轉換

阿新 • • 發佈：2019-02-04

iptables nat 原理
同filter表一樣，nat表也有三條預設的"鏈"(chains)：
  •     PREROUTING:目的DNAT規則
把從外來的訪問重定向到其他的機子上，比如內部SERVER，或者DMZ。
 因為路由時只檢查資料包的目的ip地址，所以必須在路由之前就進行目的PREROUTING DNAT;
系統先PREROUTING DNAT翻譯——>再過濾（FORWARD）——>最後路由。
 路由和過濾（FORWARD)中match 的目的地址，都是針對被PREROUTING DNAT之後的。
  •     POSTROUTING:源SNAT規則
 在路由以後在執行該鏈中的規則。

系統先路由——>再過濾（FORWARD)——>最後才進行POSTROUTING SNAT地址翻譯
其match 源地址是翻譯前的。
  •     OUTPUT:定義對本地產生的資料包的目的NAT規則


========================內網訪問外網  -J SNAT============================

-j SNAT
 -j SNAT：源網路地址轉換，SNAT就是重寫包的源IP地址
 SNAT 只能用在nat表的POSTROUTING鏈裡
 only valid in the nat table, in the POSTROUTING chain.

-j SNAT --to-source  ipaddr[-ipaddr][:port-port]

 ipaddr:
  •     a single new source IP address
  •     range of IP addresses
  •     or you can add several --to-source options.  a  simple  round-robin  takes place between these adresses.
port range(only valid if the rule also specifies -p tcp or -p udp)
 If no port range is specified, then source ports below 
 512  will be
 mapped  to  other  ports  below 512


-j MASQUERADE
 用於外網口public地址是DHCP動態獲取的（如ADSL）
iptables -t nat  -A POSTROUTING –o eth1 –s 192.168.1.0/24 –j MASQUERADE
iptables -t nat  -A POSTROUTING -o ppp0  -j  MASQUERADE


MASQUERADE        --to-ports port[-port]
only valid if the rule also specifies -p tcp or -p udp.


固定public 地址（外網介面地址）的最基本內訪外SNAT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to 你的eth0地址


多個內網段SNAT,就是多條SNAT語句即可
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE


 非外網口地址為NAT用，必須先要繫結到介面上，如eth0 :1,eth0 :2




================================外網訪問內網 –J DNAT===========================


DNAT
 only valid in  PREROUTING
 --to-destination ipaddr[-ipaddr][:port-port]
DNAT：目的網路地址轉換，重寫包的目的IP地址

典型的DNAT的例子
外部介面ip：210.83.2.206
內部介面ip：192.168.1.1

ftp伺服器　：　ip 192.168.1.3
web伺服器　：　ip 192.168.1.4
iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 21 -j DNAT --to 192.168.1.3
iptables -t nat -A PREROUTING -d 210.83.2.206 -p tcp --dport 80 -j DNAT --to 192.168.1.4



  DNAT靜態對映
IPTABLES沒有CISCO那種static map


DNAT用於內部SERVER的load-balance（即CISCO的rotery）
iptables –t nat –A PREROUTING –d 219.142.217.161 –j DNAT --to-destination 192.168.1.24-192.168.1.25


DNAT  帶埠對映(改變SERVER的埠)
一個FTP SERVER從內部192.168.100.125:21對映到216.94.87.37:2121的例子
iptables -t nat -A PREROUTING -p tcp -d 216.94.87.37 --dport 2121 -j DNAT --to-destination 192.168.100.125:21
通常外網DNAT訪問內網SERVER，內網SERV ER回包的源地址是經過另一個單獨的SNAT程序的。而不屬於DNAT STATIC程序的一部分。
這樣對於P-t-P的網路應用，就必須另設一個和DNAT相適應的SNAT。
對於穿過NAT，被NAT對映改變埠號的應用，也必須用一個單獨的SNAT對回包的埠進行對映
iptables -t nat -A POSTROUTING -p tcp -s 192.168.100.125 --sport 21 -j SNAT --to-source 216.94.87.37:2121
不這樣做的話，FTP SERVER會返回21到外網的客戶機，外網使用者發出一個to 2121的FTP request,收到一個from 21的，會不認
上面的好象不必，做過實驗了：
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22


DNAT照樣要做RULE，DNAT只是翻譯，仍要做ACCEPT。（而且注意是FORWARD，不是INPUT）
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 22 -j ACCEPT

##########NAT CHAIN###############
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000



DNAT的FORWARD RULE總是出錯，原來：DNAT RULE是在PREROUTING語句之後執行的，即DNAT RULE要match翻譯過來的新介面號
一開始按翻譯前的原始介面做RULE，發覺9000和9001都通過，但2022總通不過
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 2022 -j ACCEPT

##########NAT CHAIN###############
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000
後來發現原來9000和9001都是埠不變的翻譯，只有2022是由2022到22的翻譯。
而FORWARD是在PREROUTING執行後執行的，此時2022已經被翻譯成22了，當然不匹配2022那個rule了
改正：
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9000 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
/sbin/iptables -A FORWARD -i $WAN_INT -m state --state NEW -p tcp --dport 22 -j ACCEPT




==============================NAT  troubleshooting===================================

-i ，-o 引數在NAT中的用途
對於PREROUTING鏈，只能用-i,通常是外網口
對於POSTROUTING和OUTPUT，只能用-o，通常也是外網口

linux iptables通常都用外網口地址做NAT public地址
用非外網口的同網段地址做DNAT public地址，失敗
失敗原因是，非外網口地址為DNAT用，必須要繫結到介面上，如eth0 :1,eth0 :2

連續public 地址SNAT （也要先繫結到子介面上eth0:x）
iptables –t nat –A POSTROUTING –s 192.168.1.0 –j SNAT --to-source 219.142.217.161-219.142.217.166
一段連續的地址，這樣可以實現負載平衡。每個流會被隨機分配一個IP。


不存在所謂的PAT。理由：沒有PAT相關的RFC
PAT是CISCO自己的概念

Linux實現的就是完整的NAT和NAPT（可以進行埠替換，參見RFC3022）
但是埠並沒有bind到本地協議棧上。所以不受本地埠資源65535的限制。

 源埠必須>1024
iptables –t nat –A POSTROUTING -p tcp,udp –s 192.168.1.0 –j SNAT --to-source 219.142.217.161:1024-32000
這樣包的源埠就被限制在1024-32000了


   埠轉換限定
iptables –A POSTROUTING –o eth1 –s 192.168.1.0/24 –j MASQUERADE  --to-ports 1024-30000
只轉換1024以上低於30000的源埠

   對於”內網訪問內網SERVER在外網的地址”的特殊處理
o  網內客戶機10.4.3.119發起一個訪問請求給對映後的地址124.126.86.138（10.4.3.150）
o  防火牆收到這個向124.126.86.138請求後根據策略表匹配發現是一個對內部伺服器10.4.3.150對映，防火牆會通過純路由的方式將資料包轉發給伺服器 10.4.3.150
o  伺服器10.4.3.150收到請求後，發現源地址為10.4.3.119的客戶機發來了一個請求，並且這臺主機與自己在同一個網段內，於是直接將回應包SYN+ACK傳送給主機10.4.3.119（就不再經過FW）
o 10.4.3.119收到這個包後會感覺很奇怪，因為它從來就沒有給10.4.3.150傳送過連線請求報文（他只給124.126.86.138)傳送過，所以就會將回應報文丟棄
 解決：增加一個朝向內部網10.4.3.150訪問的POSTROUTING SNAT
/sbin/iptables -t nat -A POSTROUTING -s 10.4.0.0/16 -o $WAN_INT -j SNAT --to 124.126.86.137
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 2022 -j DNAT --to-destination 10.4.3.150:22
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9001 -j DNAT --to-destination 10.4.3.150:9001
/sbin/iptables -t nat -A PREROUTING -d 124.126.86.138 -p tcp --dport 9000 -j DNAT --to-destination 10.4.3.150:9000
/sbin/iptables -t nat -A POSTROUTING  -d 10.4.3.150 -j SNAT --to 10.4.0.198
把發往內部server ip 10.4.3.150的包的源地址改成FW內網口地址10.4.0.198
這樣就能從內部訪問內部SERVER的外部地址



上例的另一種情況：禁止server在內網訪問他自己在外網的公有地址
iptables -t nat -A PREROUTING -d 219.142.217.161 -j DNAT --to 192.168.1.24
iptables -t nat -A PREROUTING -d 210.83.2.206 -s ! 192.168.1.24 -p tcp --dport 21 -j DNAT --to 192.168.1.24
-s !內網SERVER地址 DNAT --to 內網server地址

相關推薦

iptables配置——NAT地址轉換

iptables nat 原理同filter表一樣，nat表也有三條預設的"鏈"(chains)：     PREROUTING:目的DNAT規則把從外來的訪問重定向到其他的機子上，比如內部SERV

NAT-地址轉換技術的配置

（一）NAT的概念及工作原理 　　簡單來講，nat就是將私有網址轉化為共有網址的技術。NAT通常部署在一個組織的網路出口位置，成為NAT閘道器。舉個栗子，一段報文想離開私網，必須經過NAT閘道器將資料傳輸給公網Internet，通過nat實現源IP地址對映為公網IP地址，Internet發現該IP實際是私有I

華為路由器配置動態地址轉換

地址轉換 bsp alt img http inf TP 圖片 src 華為路由器配置動態地址轉換

NAT介紹及iptables配置NAT的方法

NAT，網路地址轉換，該技術是為了應對IPv4地址耗盡的問題而產生的。他的產生幾乎使IPv4起死回生。在IPv4已經被認為行將結束歷史使命之後近20年時間裡，人們幾乎忘了IPv4的地址空間即將耗盡這樣一個事實。 IPv4地址的劃分 在弄明白NAT的具體功能前，我們先來看一看IPv4地址的劃分。 IPv

vmware中的3種網路模式：橋接、NAT(地址轉換)、host-only

不同虛擬交換機應用在不同的聯網模式Bridged、NAT、host-only三種模式，下面分別介紹其具體分配： VMnet0：這是VMware用於虛擬橋接網路下的虛擬交換機； VMnet1：這是VMware用於虛擬Host-Only網路下的虛擬交換機； VMnet8

NAT地址轉換和埠複用PAT

什麼是埠複用動態地址轉換(PAT) 介紹配置例項 埠多路複用(Port address Translation,PAT)是指改變外出資料包的源埠並進行埠轉 換，即埠地址轉換(PAT，Port Address Translation).採用埠多路複用方式。內部網路 的所

NAT地址轉換

text blog image 獲取 如果 設備 列表 可用 type NAT地址轉換：將內網ip地址轉換為公網ip地址。內網私網ip地址不能在公網中路由，ipv4以逐漸枯竭。地址轉換可以有效的節省地址，地址轉換通常設置在內網和外網的網關設備上NAT地址轉換實現方式有多種：

NAT(地址轉換技術)詳解

設備 下載 超過 遇到的問題 革命 系統 端到端 即將 移動終端 目錄 NAT產生背景ip地址基礎知識NAT技術的工作原理和特點靜態NAT動態NATNAT重載（經常應用到實際中）NAT技術的優缺點優點缺點NAT穿越技術應用層網關（ALG）ALG的實際應用NAT技術的未來參

單臂路由、擴展ACL與NAT的網絡地址轉換的配置實驗

單臂路由 ACL NAT 單臂路由、擴展ACL與NAT的網絡地址轉換的配置實驗 環境描述：1. 使用單臂路由實現C1與C2的互聯互通2. 實現整個網絡全網互聯互通3. 使用擴展ACL實現禁止網絡192.168.10.0/24中的主機ping通C3的IP地址14.0.0.14/24，禁止網絡1

淺談NAT概念及原理，配置NAT 網絡地址轉換---PAT端口地址轉換；

alt 網絡拓撲圖 ffffff 問題 作用 選擇 表示 隨機 ans NAT 網絡地址轉換理論概況：NAT的概念：它將自動修改IP包頭中的源IP地址或目的IP地址。IP地址的校驗則在NAT處理過程中自動完成。它是通過內部網絡的私網IP地址翻譯成全球唯一的公網IP地址，使內

Packet Tracer 思科模擬器入門教程 之十七 網路地址轉換NAT配置

實驗目標        理解NAT網路地址轉換的原理及功能；        掌握靜態NAT的配置，實現區域網訪問網際網路； 實驗背景   &nb

NAT 內外網絡地址轉換

nat 內外網絡地址轉換左邊是內網，右邊是外網，實驗目的：實現左邊到右邊外網的聯通先配置每臺機器的基本信息interface g0/0no shutdownip add 192.168.1.254 255.255.255.0exitinterface g0/1no shutdownip add 100.1

docker(iptables)目標地址轉換，運行中的容器映射端口

docker iptables 端口映射 流量轉發 容器服務 註意：議映射端口嘗試-p 8080:8081 的形式，如若不行再嘗試該方法，在宿主機執行下面該防火墻規則指令# iptables -t nat -A PREROUTING -d 宿主機IP -p tcp -m tcp --dpo

NAT（Network Address Translation）網絡地址轉換

接受 -- add pro 系統 16px pin 保存 int 為了緩解ipv4將要枯竭的這種現狀 通過使用動態nat可以將私有地址轉換為公有地址的方式訪問英特網從而節省ipv4 動態nat配置思路1、配置內網和外網設備的IP地址 pc1ip 192

網絡端口地址轉換的NAPT配置

外部 測試過程 ip nat nat src add ace 有效 access 背景：只有一個IP地址，實現內網內多臺主機訪問外網 原理：NAPT使用不同的端口來映射對各內網的IP地址到一個指定的外網IP地址，多對一。 　　　NAPT采用端口多路復用的方式。內部網絡的所有

配置動態PAT（port address translation網絡地址轉換）

generate nbsp stat ica asdm ado 驗證 ip add acl 思路與配置1.配置R1 2.配置雲 interface GigabitEthernet0 nam

網絡地址轉換NAT

地址 分片 減少 替換 mar tcp連接 設有 長時間 用戶 網絡地址轉換NAT 要知道到每個IP使能的設備都需要一個IP地址。以一個家庭為例，假設當地的ISP已為該家庭分配過一塊地址，但是後期家庭中的智能設備增加（智能手機、電腦等），這些都需要IP地址才可上網，此時應

NAT靜態轉換配置

NAT 靜態NAT SW1sw1(config)#int f1/2sw1(config-if)#speed 100 --------------- #調整雙工sw1(config-if)#duplex full·R1R1(config)#int f0/0R1(config

網絡地址轉換——NAT

NATNAT技術引入的原因： <1>網絡迅速發展，ipv4地址不敷使用 <2>ipv4的地址分配不均 <3>私有地址用戶需要訪問internet <4>NAT提供私有地址到公有地址的轉換 <5>NAT還可以防止外部主機攻擊內部主機公有地址和私有地址：

PAT地址轉換配置，端口復用

NAT PAT 端口復用 1.使用外部全局地址SW1sw1(config)#int f1/2sw1(config-if)#speed 100 --------------- #調整雙工sw1(config-if)#duplex full·R1R1(config)#int f0/0R1(config