Linux 防火墙：iptables （二）

文章目录

    • SNAT 原理与应用
      • SNAT 应用环境
      • SNAT 原理
      • SNAT 转换前提条件
      • SNAT 格式
      • SNAT 转换规则配置
    • DNAT 原理与应用
      • DNAT 应用环境
      • DNAT 原理
      • DNAT 转换前提条件
      • DNAT 格式
      • DNAT 转换规则配置
    • iptables 规则的备份和还原
      • 导出（备份）所有表的规则
      • 导入（还原）规则
      • 使用系统默认配置文件备份和还原规则
    • 使用 tcpdump 抓取网络数据包
      • 命令格式
      • 使用示例

SNAT 原理与应用

SNAT 应用环境

SNAT（源网络地址转换）通常用于局域网内的主机共享单个公网 IP 地址接入 Internet，因为私有 IP 地址不能在 Internet 中正常路由。

在这里插入图片描述

SNAT 原理

SNAT 的工作原理是将数据包的源地址从局域网地址转换为公网 IP 地址。

SNAT 转换前提条件

  1. 局域网内各主机已正确设置 IP 地址、子网掩码、默认网关地址。
  2. Linux 网关需要开启 IP 路由转发功能。

  • 临时打开 IP 路由转发：

    echo 1 > /proc/sys/net/ipv4/ip_forward

    或者：

    sysctl -w net.ipv4.ip_forward=1

  • 永久打开 IP 路由转发：
    编辑 /etc/sysctl.conf 文件，添加或修改以下内容：

    net.ipv4.ip_forward = 1

    然后，使用以下命令使修改生效：

    sysctl -p

SNAT 格式

SNAT (Source NAT) - 转换源地址

用于内网主机访问外网服务器时，转换数据包的源地址。

规则格式：

iptables -t nat -A POSTROUTING -s <内网源地址/网段> -o <出站网卡> -j SNAT --to <要转换的公网源地址>
  • -t nat：指定使用 nat 表。
  • -A POSTROUTING：在数据包路由后的处理链 POSTROUTING 中添加规则，适用于源地址转换（SNAT）。
  • -s <内网源地址/网段>：内网的源地址或网段，如 192.168.1.0/24。
  • -o <出站网卡>：指定出站的网卡接口，如 eth0。
  • -j SNAT：使用 SNAT 动作，表示源地址转换。
  • --to <要转换的公网源地址>：转换成的公网源地址，如 203.0.113.5。

SNAT 转换规则配置

  1. 固定的公网 IP 地址：

    将数据包源地址转换为指定的公网 IP 地址。

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.1

    或使用 IP 地址池：

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source 12.0.0.1-12.0.0.10

    解释：192.168.80.0/24 为内网 IP，ens36 为外网网卡，12.0.0.1 或 12.0.0.1-12.0.0.10 为外网 IP 或地址池。

  2. 非固定的公网 IP 地址（共享动态 IP 地址）：

    使用 MASQUERADE 规则动态分配 IP 地址。

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j MASQUERADE

扩展：一个 IP 地址做 SNAT 转换，可以让 100 到 200 台内网主机实现上网。

DNAT 原理与应用

DNAT 应用环境

DNAT（目标网络地址转换）常用于在 Internet 中发布位于局域网内的服务器。

在这里插入图片描述

DNAT 原理

DNAT 的工作原理是将数据包的目的地址从公网地址转换为局域网内的服务器地址。

DNAT 转换前提条件

  1. 局域网内的服务器能够访问 Internet。
  2. 网关的外网地址有正确的 DNS 解析记录。
  3. Linux 网关需要开启 IP 路由转发功能。

编辑 /etc/sysctl.conf 文件，添加或修改以下内容：

net.ipv4.ip_forward = 1

然后使用以下命令使修改生效：

sysctl -p

DNAT 格式

DNAT (Destination NAT) - 转换目的地址

用于外网主机访问内网服务器时，转换数据包的目的地址及端口。

规则格式：

iptables -t nat -A PREROUTING -i <入站网卡> -d <原公网目的地址> -p <协议> --dport <原目的端口> -j DNAT --to <要转换的私网IP[:端口]
  • -t nat：指定使用 nat 表，nat 表用于处理网络地址转换。
  • -A PREROUTING：在数据包路由前的处理链 PREROUTING 中添加规则，适用于目标地址转换（DNAT）。
  • -i <入站网卡>：指定入站的网卡接口，如 eth0。
  • -d <原公网目的地址>：原目标公网地址，需要转换的目标地址，如 203.0.113.5。
  • -p <协议>：指定协议类型（如 tcp、udp）。
  • --dport <原目的端口>：原目标端口，需要转换的端口号，如 80。
  • -j DNAT：使用 DNAT 动作，表示目标地址转换。
  • --to <要转换的私网IP[:端口]>：要转换的内网服务器 IP 和端口，如 192.168.1.100:8080，端口部分为可选。

DNAT 转换规则配置

  1. 发布内网的 Web 服务：

    把从 ens33 进来的要访问 Web 服务的数据包的目的地址转换为 192.168.80.11：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11
# 端口号可省

    或者：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11

    解释：ens33 为入站外网网卡，12.0.0.1 为外网 IP，192.168.80.11 为内网服务器 IP。

    如果要将目标地址转换为一个 IP 地址范围：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20

  2. 发布时修改目标端口：

    发布局域网内部的 OpenSSH 服务器，外网主机需使用 250 端口进行连接：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22

    在外网环境中使用 SSH 测试：

    ssh -p 250 root@12.0.0.1

注意：使用 DNAT 时，一般要配合 SNAT 使用，才能实现响应数据包的正确返回。

扩展

  • 主机型防火墙：主要使用 INPUT 和 OUTPUT 链，设置规则时一般要详细地指定端口。
  • 网络型防火墙：主要使用 FORWARD 链，设置规则时通常指定到 IP 地址或网段即可，很少指定到具体端口。

iptables 规则的备份和还原

导出（备份）所有表的规则

使用 iptables-save 命令将当前的 iptables 规则导出到一个文件中，以便于备份：

iptables-save > /opt/ipt.txt

导入（还原）规则

使用 iptables-restore 命令将备份的规则文件导入到系统中，实现规则的还原：

iptables-restore < /opt/ipt.txt

使用系统默认配置文件备份和还原规则

将 iptables 规则文件保存在 /etc/sysconfig/iptables 中。这样在 iptables 服务启动时，规则会自动还原：

iptables-save > /etc/sysconfig/iptables

或使用 mv 命令，替换掉默认规则文件。

  • 停止 iptables 服务会清空掉所有表的规则：

    systemctl stop iptables

  • 启动 iptables 服务会自动还原 /etc/sysconfig/iptables 中的规则：

    systemctl start iptables

使用 tcpdump 抓取网络数据包

tcpdump 是一个命令行界面的网络数据包抓取工具，可以用来分析网络通信情况。

命令格式

tcpdump 命令的一般使用格式如下：

tcpdump [协议] -i <网卡> -s 0 -c <抓包数量> [and src/dst port <端口号>] [and src/dst net <网段>] [and src/dst host <主机IP>] -w <文件名.cap>

选项说明：

  • [协议]：指定抓取的协议类型，如 tcp、udp、icmp 等，也可以是 ip、arp、rarp 等数据链路层协议类型。这些选项必须放在第一个参数的位置，用来过滤数据包的类型。
  • -i <网卡>：指定要监听的网卡接口，例如 ens33。只抓取经过此接口的网络数据包。
  • -s 0：设置抓包的快照长度，0 表示抓取完整的数据包。默认情况下，tcpdump 只抓取数据包的前 68 字节。
  • -c <抓包数量>：指定抓取的数据包数量，当达到该数量时停止抓包。
  • src/dst port <端口号>：指定源或目标端口号，用于过滤特定端口的数据包。可以用 ! 来排除某个端口号。
  • src/dst net <网段>：指定源或目标网络地址，用于过滤特定网段的数据包。
  • src/dst host <主机IP>：指定源或目标主机 IP 地址，用于过滤特定主机的数据包。
  • -w <文件名.cap>：将抓取的数据包保存到文件中（.cap 格式），便于后续用 Wireshark 或其他工具进行分析。
  • -t：不显示时间戳。

使用示例

示例 1：使用 tcpdump 抓取 TCP 数据包

抓取指定网络接口、协议类型、IP 范围以及端口号的基础上对数据进行过滤，并将结果保存到指定文件中用于后续的分析。

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
  • tcp：过滤 TCP 协议的数据包。
  • -i ens33：只抓取经过接口 ens33 的数据包。
  • -t：不显示时间戳。
  • -s 0：抓取完整的数据包。
  • -c 100：只抓取 100 个数据包。
  • dst port ! 22：不抓取目标端口为 22 的数据包。
  • src net 192.168.1.0/24：只抓取源网络地址为 192.168.1.0/24 的数据包。
  • -w ./target.cap：将抓取的结果保存到 target.cap 文件中。

示例 2：抓取从 192.168.100.100 主机发送的经过 ens33 网卡的 HTTP 协议的数据包

tcpdump tcp -i ens33 and src host 192.168.100.100 and dst port 80 -s 0 -w XXX.cap
  • tcp：过滤 TCP 协议的数据包。
  • -i ens33：只抓取经过接口 ens33 的数据包。
  • src host 192.168.100.100：只抓取源主机地址为 192.168.100.100 的数据包。
  • dst port 80：只抓取目标端口为 80（HTTP 协议端口） 的数据包。
  • -s 0：抓取完整的数据包。
  • -w XXX.cap：将抓取的结果保存到 XXX.cap 文件中。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/879352.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

PCL 点云基于曲率大小渲染颜色

PCL 点云基于曲率大小渲染颜色

目录 一、概述 1.1原理 1.2实现步骤 1.3应用场景 二、代码实现 2.1关键函数 2.2完整代码 三、实现效果 3.1原始点云 3.2处理后点云 PCL点云算法汇总及实战案例汇总的目录地址链接&#xff1a; PCL点云算法与项目实战案例汇总&#xff08;长期更新&#xff09; 一、概…
阅读更多...
Django笔记一：搭建Django环境与URL路径访问

Django笔记一：搭建Django环境与URL路径访问

博主之前学从Java后端开发&#xff0c;后面获取到读研资格&#xff0c;想着未来转算法岗&#xff0c;初学Python&#xff0c;发现Python还挺有趣的&#xff0c;由于之前所学后端缘故&#xff0c;有点后端情节&#xff0c;想学习一下Django框架&#xff08;python的web框架&…
阅读更多...
人工智能和机器学习：探讨人工智能和机器学习的最新发展、应用、挑战和未来趋势

人工智能和机器学习：探讨人工智能和机器学习的最新发展、应用、挑战和未来趋势

人工智能和机器学习是当前科技领域的热点话题&#xff0c;其最新发展、应用、挑战和未来趋势备受关注。 最新发展&#xff1a; 人工智能和机器学习技术在近年来得到了快速发展&#xff0c;尤其是深度学习技术的广泛应用。例如&#xff0c;深度学习在图像识别、语音识别、自然语…
阅读更多...
react 基础语法

react 基础语法

前置知识 类的回顾 通过class关键字定义一个类 类名首字母大写 class类有constructor构造器 new 一个类得到一个实例 类还有方法&#xff0c;该方法也会在其原型上 static静态数据&#xff0c;访问静态属性通过 类名.id getter和setter getter&#xff1a;定义一个属性&…
阅读更多...
网络学习-eNSP配置VRRP

网络学习-eNSP配置VRRP

虚拟路由冗余协议(Virtual Router Redundancy Protocol&#xff0c;简称VRRP) VRRP广泛应用在边缘网络中&#xff0c;是一种路由冗余协议&#xff0c;它的设计目标是支持特定情况下IP数据流量失败转移不会引起混乱&#xff0c;允许主机使用单路由器&#xff0c;以及即使在实际…
阅读更多...
全球NAND原厂闪存市场格局变化

全球NAND原厂闪存市场格局变化

根据市场研究机构TrendForce的最新跟踪报告&#xff0c;三星&#xff08;Samsung&#xff09;和SK海力士&#xff08;SK hynix-Solidigm&#xff09;在过去的一个季度中扩大了他们在NAND闪存市场的份额&#xff0c;这主要得益于抢占了铠侠&#xff08;Kioxia&#xff09;与西部…
阅读更多...
小目标检测顶会新思路！最新成果刷爆遥感SOTA，参数小了18倍

小目标检测顶会新思路！最新成果刷爆遥感SOTA，参数小了18倍

遥感领域的小目标检测一直是个具有挑战性和趣味性的研究方向&#xff0c;同时也是顶会顶刊的常客。但不得不说&#xff0c;今年关于遥感小目标检测的研究热情尤其高涨&#xff0c;已经出现了很多非常优秀的成果。 比如SuperYOLO方法&#xff0c;通过融合多模态数据并执行高分辨…
阅读更多...
【重学 MySQL】二十八、SQL99语法新特性之自然连接和 using 连接

【重学 MySQL】二十八、SQL99语法新特性之自然连接和 using 连接

【重学 MySQL】二十八、SQL99语法新特性之自然连接和 using 连接 自然连接&#xff08;NATURAL JOIN&#xff09;USING连接总结 SQL99语法在SQL92的基础上引入了一些新特性&#xff0c;其中自然连接&#xff08;NATURAL JOIN&#xff09;和USING连接是较为显著的两个特性。 自…
阅读更多...
数据结构（14）——哈希表（1）

数据结构（14）——哈希表（1）

欢迎来到博主的专栏&#xff1a;数据结构 博主ID&#xff1a;代码小豪 文章目录 哈希表的思想映射方法&#xff08;哈希函数&#xff09;除留余数法 哈希表insert闭散列负载因子扩容find和erase 哈希表的思想 在以往的线性表中&#xff0c;查找速度取决于线性表是否有序&#…
阅读更多...
知识库管理系统在企业数字化转型中的作用

知识库管理系统在企业数字化转型中的作用

引言 在数字化转型的浪潮中&#xff0c;企业正以前所未有的速度重塑其业务模式、运营流程和组织架构&#xff0c;以适应快速变化的市场环境和客户需求。这一过程中&#xff0c;知识库管理系统作为信息整合与知识共享的核心平台&#xff0c;发挥着举足轻重的作用&#xff0c;不…
阅读更多...
【解决】AnimationCurve 运行时丢失数据问题

【解决】AnimationCurve 运行时丢失数据问题

开发平台&#xff1a;Unity 2022 编程平台&#xff1a;Visual Studio 编程语言&#xff1a;CSharp   一、问题背景 如上图所示的 GracityComponent 组件中&#xff0c;引用 AnimationCurve 作为可调属性。但在实际使用中出现数据丢失问题。大致为以下两种情况&#xff1a; 运…
阅读更多...
【重学 MySQL】二十七、七种 join 连接

【重学 MySQL】二十七、七种 join 连接

【重学 MySQL】二十七、七种 join 连接 union 的使用UNION 的基本用法示例UNION ALL 的用法 七种 join 连接代码实现语法格式小结 union 的使用 UNION 在 SQL 中用于合并两个或多个 SELECT 语句的结果集&#xff0c;并默认去除重复的行。如果希望包含重复行&#xff0c;可以使…
阅读更多...
RNN发展（RNN/LSTM/GRU/GNMT/transformer/RWKV）

RNN发展（RNN/LSTM/GRU/GNMT/transformer/RWKV）

RNN到GRU参考&#xff1a; https://blog.csdn.net/weixin_36378508/article/details/115101779 tRANSFORMERS参考&#xff1a; seq2seq到attention到transformer理解 GNMT 2016年9月 谷歌,基于神经网络的翻译系统&#xff08;GNMT&#xff09;&#xff0c;并宣称GNMT在多个主…
阅读更多...
java程序员入行科目一之CRUD轻松入门教程(二)

java程序员入行科目一之CRUD轻松入门教程(二)

封装工具类 封装获取连接&释放资源操作 在实际使用JDBC的时候&#xff0c;很多操作都是固定的&#xff0c;没有必要每次都去注册驱动&#xff0c;获取链接对象等等。 同样&#xff0c;释放资源的close操作也可以封装一下 下面是封装好的具体工具类 package com.jimihua.u…
阅读更多...
海外云手机是否适合运营TikTok？

海外云手机是否适合运营TikTok？

随着科技的迅猛发展&#xff0c;海外云手机逐渐成为改变工作模式的重要工具。这种基于云端技术的虚拟手机&#xff0c;不仅提供了更加便捷、安全的使用体验&#xff0c;还在电商引流和海外社媒管理等领域展示了其巨大潜力。那么&#xff0c;海外云手机究竟能否有效用于运营TikT…
阅读更多...
mosh java 2.4 inheritance继承

mosh java 2.4 inheritance继承

1.面向对象编程的第三个特点 继承 继承的好处 java不能继承多个父级 代码文件结构 1.main.java package org.example; //package org.codewithme;//import org.example.UIControl;//TIP To <b>Run</b> code, press <shortcut actionId"Run"/> or /…
阅读更多...
3C电子胶黏剂在手机制造方面有哪些关键的应用

3C电子胶黏剂在手机制造方面有哪些关键的应用

3C电子胶黏剂在手机制造方面有哪些关键的应用 3C电子胶黏剂在手机制造中扮演着至关重要的角色&#xff0c;其应用广泛且细致&#xff0c;覆盖了手机内部组件的多个层面&#xff0c;确保了设备的可靠性和性能。以下是电子胶在手机制造中的关键应用&#xff1a; 手机主板用胶&…
阅读更多...
率先搭载存内计算AI芯片，维迈通引领骑行通讯降噪革新

率先搭载存内计算AI芯片，维迈通引领骑行通讯降噪革新

近日&#xff0c;高端骑行头盔耳机领导品牌维迈通&#xff08;VIMOTO&#xff09;三款新品XR、V10S、V10X全平台正式发售&#xff0c;创新搭载了知存科技&#xff08;Witmem&#xff09;高能效存内计算AI芯片&#xff0c;为骑行爱好者带来更极致的AI降噪体验。 作为一家专注摩托…
阅读更多...
状压DP

状压DP

状压DP 对于数据范围n<20的可以考虑状压DP 1.蒙德里安的梦想 题目描述 求把 N M NM NM 的棋盘分割成若干个 12 的的长方形&#xff0c;有多少种方案。 例如当$ N2&#xff0c;M4$ 时&#xff0c;共有 5 种方案。当 N 2 &#xff0c; M 3 N2&#xff0c;M3 N2&…
阅读更多...
windows 创建新用户，并分配到指定组

windows 创建新用户，并分配到指定组

右击电脑 -> 点击管理 在右边右击&#xff0c;选择新用户&#xff0c;输入相关信息创建 创建用户后&#xff0c;选择用户&#xff0c;右击&#xff0c;选择属性&#xff0c;添加 点击高级 点击立即查找&#xff0c;可以搜索出所有可用的组&#xff0c;为其选择即可
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023