Linux 防火墙：iptables （二）
文章目录
- SNAT 原理与应用
- SNAT 应用环境
- SNAT 原理
- SNAT 转换前提条件
- SNAT 格式
- SNAT 转换规则配置
- DNAT 原理与应用
- DNAT 应用环境
- DNAT 原理
- DNAT 转换前提条件
- DNAT 格式
- DNAT 转换规则配置
- iptables 规则的备份和还原
- 导出（备份）所有表的规则
- 导入（还原）规则
- 使用系统默认配置文件备份和还原规则
- 使用 tcpdump 抓取网络数据包
- 命令格式
- 使用示例
SNAT 原理与应用
SNAT 应用环境
SNAT（源网络地址转换）通常用于局域网内的主机共享单个公网 IP 地址接入 Internet，因为私有 IP 地址不能在 Internet 中正常路由。
SNAT 原理
SNAT 的工作原理是将数据包的源地址从局域网地址转换为公网 IP 地址。
SNAT 转换前提条件
- 局域网内各主机已正确设置 IP 地址、子网掩码、默认网关地址。
- Linux 网关需要开启 IP 路由转发功能。
-
临时打开 IP 路由转发：
echo 1 > /proc/sys/net/ipv4/ip_forward或者：
sysctl -w net.ipv4.ip_forward=1 -
永久打开 IP 路由转发：
编辑/etc/sysctl.conf文件，添加或修改以下内容：net.ipv4.ip_forward = 1然后，使用以下命令使修改生效：
sysctl -p
SNAT 格式
SNAT (Source NAT) - 转换源地址
用于内网主机访问外网服务器时，转换数据包的源地址。
规则格式：
iptables -t nat -A POSTROUTING -s <内网源地址/网段> -o <出站网卡> -j SNAT --to <要转换的公网源地址>
-t nat：指定使用nat表。-A POSTROUTING：在数据包路由后的处理链POSTROUTING中添加规则，适用于源地址转换（SNAT）。-s <内网源地址/网段>：内网的源地址或网段，如192.168.1.0/24。-o <出站网卡>：指定出站的网卡接口，如eth0。-j SNAT：使用 SNAT 动作，表示源地址转换。--to <要转换的公网源地址>：转换成的公网源地址，如203.0.113.5。
SNAT 转换规则配置
-
固定的公网 IP 地址：
将数据包源地址转换为指定的公网 IP 地址。
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.1或使用 IP 地址池：
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source 12.0.0.1-12.0.0.10解释：
192.168.80.0/24为内网 IP，ens36为外网网卡，12.0.0.1或12.0.0.1-12.0.0.10为外网 IP 或地址池。 -
非固定的公网 IP 地址（共享动态 IP 地址）：
使用
MASQUERADE规则动态分配 IP 地址。iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j MASQUERADE
扩展：一个 IP 地址做 SNAT 转换，可以让 100 到 200 台内网主机实现上网。
DNAT 原理与应用
DNAT 应用环境
DNAT（目标网络地址转换）常用于在 Internet 中发布位于局域网内的服务器。
DNAT 原理
DNAT 的工作原理是将数据包的目的地址从公网地址转换为局域网内的服务器地址。
DNAT 转换前提条件
- 局域网内的服务器能够访问 Internet。
- 网关的外网地址有正确的 DNS 解析记录。
- Linux 网关需要开启 IP 路由转发功能。
编辑 /etc/sysctl.conf 文件，添加或修改以下内容：
net.ipv4.ip_forward = 1
然后使用以下命令使修改生效：
sysctl -p
DNAT 格式
DNAT (Destination NAT) - 转换目的地址
用于外网主机访问内网服务器时，转换数据包的目的地址及端口。
规则格式：
iptables -t nat -A PREROUTING -i <入站网卡> -d <原公网目的地址> -p <协议> --dport <原目的端口> -j DNAT --to <要转换的私网IP[:端口]
-t nat：指定使用nat表，nat表用于处理网络地址转换。-A PREROUTING：在数据包路由前的处理链PREROUTING中添加规则，适用于目标地址转换（DNAT）。-i <入站网卡>：指定入站的网卡接口，如eth0。-d <原公网目的地址>：原目标公网地址，需要转换的目标地址，如203.0.113.5。-p <协议>：指定协议类型（如tcp、udp）。--dport <原目的端口>：原目标端口，需要转换的端口号，如80。-j DNAT：使用 DNAT 动作，表示目标地址转换。--to <要转换的私网IP[:端口]>：要转换的内网服务器 IP 和端口，如192.168.1.100:8080，端口部分为可选。
DNAT 转换规则配置
-
发布内网的 Web 服务：
把从
ens33进来的要访问 Web 服务的数据包的目的地址转换为192.168.80.11：iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11 # 端口号可省或者：
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11解释：
ens33为入站外网网卡，12.0.0.1为外网 IP，192.168.80.11为内网服务器 IP。如果要将目标地址转换为一个 IP 地址范围：
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20 -
发布时修改目标端口：
发布局域网内部的 OpenSSH 服务器，外网主机需使用
250端口进行连接：iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22在外网环境中使用 SSH 测试：
ssh -p 250 root@12.0.0.1
注意：使用 DNAT 时，一般要配合 SNAT 使用，才能实现响应数据包的正确返回。
扩展
- 主机型防火墙：主要使用
INPUT和OUTPUT链，设置规则时一般要详细地指定端口。 - 网络型防火墙：主要使用
FORWARD链，设置规则时通常指定到 IP 地址或网段即可，很少指定到具体端口。
iptables 规则的备份和还原
导出（备份）所有表的规则
使用 iptables-save 命令将当前的 iptables 规则导出到一个文件中，以便于备份：
iptables-save > /opt/ipt.txt
导入（还原）规则
使用 iptables-restore 命令将备份的规则文件导入到系统中，实现规则的还原：
iptables-restore < /opt/ipt.txt
使用系统默认配置文件备份和还原规则
将 iptables 规则文件保存在 /etc/sysconfig/iptables 中。这样在 iptables 服务启动时，规则会自动还原：
iptables-save > /etc/sysconfig/iptables
或使用 mv 命令，替换掉默认规则文件。
-
停止 iptables 服务会清空掉所有表的规则：
systemctl stop iptables -
启动 iptables 服务会自动还原
/etc/sysconfig/iptables中的规则：systemctl start iptables
使用 tcpdump 抓取网络数据包
tcpdump 是一个命令行界面的网络数据包抓取工具，可以用来分析网络通信情况。
命令格式
tcpdump 命令的一般使用格式如下：
tcpdump [协议] -i <网卡> -s 0 -c <抓包数量> [and src/dst port <端口号>] [and src/dst net <网段>] [and src/dst host <主机IP>] -w <文件名.cap>
选项说明：
[协议]：指定抓取的协议类型，如tcp、udp、icmp等，也可以是ip、arp、rarp等数据链路层协议类型。这些选项必须放在第一个参数的位置，用来过滤数据包的类型。-i <网卡>：指定要监听的网卡接口，例如ens33。只抓取经过此接口的网络数据包。-s 0：设置抓包的快照长度，0表示抓取完整的数据包。默认情况下，tcpdump只抓取数据包的前 68 字节。-c <抓包数量>：指定抓取的数据包数量，当达到该数量时停止抓包。src/dst port <端口号>：指定源或目标端口号，用于过滤特定端口的数据包。可以用!来排除某个端口号。src/dst net <网段>：指定源或目标网络地址，用于过滤特定网段的数据包。src/dst host <主机IP>：指定源或目标主机 IP 地址，用于过滤特定主机的数据包。-w <文件名.cap>：将抓取的数据包保存到文件中（.cap格式），便于后续用 Wireshark 或其他工具进行分析。-t：不显示时间戳。
使用示例
示例 1：使用 tcpdump 抓取 TCP 数据包
抓取指定网络接口、协议类型、IP 范围以及端口号的基础上对数据进行过滤，并将结果保存到指定文件中用于后续的分析。
tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
tcp：过滤 TCP 协议的数据包。-i ens33：只抓取经过接口ens33的数据包。-t：不显示时间戳。-s 0：抓取完整的数据包。-c 100：只抓取 100 个数据包。dst port ! 22：不抓取目标端口为22的数据包。src net 192.168.1.0/24：只抓取源网络地址为192.168.1.0/24的数据包。-w ./target.cap：将抓取的结果保存到target.cap文件中。
示例 2：抓取从 192.168.100.100 主机发送的经过 ens33 网卡的 HTTP 协议的数据包
tcpdump tcp -i ens33 and src host 192.168.100.100 and dst port 80 -s 0 -w XXX.cap
tcp：过滤 TCP 协议的数据包。-i ens33：只抓取经过接口ens33的数据包。src host 192.168.100.100：只抓取源主机地址为192.168.100.100的数据包。dst port 80：只抓取目标端口为80（HTTP 协议端口） 的数据包。-s 0：抓取完整的数据包。-w XXX.cap：将抓取的结果保存到XXX.cap文件中。