SNAT和DNAT原理与应用
SNAT和DNAT
SNAT是指在数据包从网卡发送出去的时候，把数据包中的源地址部分替换为指定的IP，这样，接收方就认为数据包的来源是被替换的那个IP的主机。
DNAT就是指数据包从网卡发送出去的时候，修改数据包中的目的IP，表现为如果你想访问A，可是因为网关做了DNAT，把所有访问A的数据包的目的IP全部修改为B，那么，你实际上访问的是B 因为，路由是按照目的地址来选择的。
因此DNAT是在PREROUTING链上来进行的，而SNAT是在数据包发送出去的时候才进行，所以是在POSTROUTING链上进行的。 通过SNAT和DNAT可以使内网和外网进行相互通讯。
SNAT原理与应用：
SNAT应用环境
局域网主机共享单个公网IP地址接入Internet(私有IP不能在Internet中正常路由）
SNAT原理
修改数据包的源地址。
SNAT转换
SNAT转换前提条件：
-
局域网各主机已正确设置IP地址、子网掩码、默认网关地址
-
Linux网关开启IP路由转发
-
临时打开：
echo 1 > /proc/sys/net/ipv4/ip_forward
sysctl -w net.ipv4.ip_forward=1 -
永久打开：
vim /etc/sysct1.conf
net.ipv4.ip_forward=1#将此行写入配置文件
sysctl -p#读取修改后的配置 -
SNAT转换1–固定的公网IP地址：
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to 12.0.0.1
或
iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens33 -j SNAT --to-source 12.0.0.1-12.0.0.10
内网IP 出站 外网网卡 外网IP或地址池
SNAT转换2–非固定的公网IP地址（共享动态IP地址）:
iptables -t nat -A POSTROUTING -S 192.168.80.0/24-0 ens33 -j MASQUERADE
小知识扩展：
一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网。
DNAT原理与应用
DNA应用环境:
在 Internet中发布位于局域网内的服务器
DNAT原理:
修改数据包的目的地址。
DNAT转换
DNAT转换前提条件:
-
局域网的服务器能够访问 Internet
-
网关的外网地址有正确的Ds解析记录
-
Linux网关开启路由转发
-
vim /etc/sysctl. conf -
net. ipv4. ip forward
sysctl -p#读取修改后的配置 -
DNAT转换1–发布内网的Web服务
#把从ens33进来的要访问web服务的数据包目的地址转换为192.168.108.25
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.108.25
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.108.25
入站 外网网卡 外网IP 内网服务器IP
iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 80 -j DNAT --to 192.168.108.20-192.168.108.100
DNAT转换2–发布时修改目标端口
#发布局域网内部的OpenSSH服务器，外网主机需使用250端口进行连接
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.108.25:22
#在外网环境中使用ssH测试
ssh -p 250 [email protected]
yum -y install net-tools
#若没有ifconfig命令可提前使用yum进行安装
ifconfig ens33
注意：使用DNAT时，同时还有配合SNAT使用，才能实现响应数据包的正确返回
小知识扩展：
主机型防火墙 主要使用 INPUT、OUTPUT 链，设置规则时一般要详细的指定到端口
网络型防火墙 主要使用 FORWARD 链，设置规则时很少去指定到端口，一般指定到IP地址或者到网段即可
防火墙规则的备份和还原
导出（备份）所有表的规则
iptables-save > /opt/ipt.txt
导入（还原）规则
iptables-restore < /opt/ipt.txt
自动还原规则
将iptables规则文件保存在 /etc/sysconfig/iptables 中，iptables服务启动时会自动还原规则
iptables-save > /etc/sysconfig/iptables
systemctl stop iptables #停止iptables服务会清空掉所有表的规则
systemctl start iptables #启动iptables服务会自动还原/etc/sysconfig/iptables 中的规则