Linux 防火墙：iptables （二）

文章目录

    • SNAT 原理与应用
      • SNAT 应用环境
      • SNAT 原理
      • SNAT 转换前提条件
      • SNAT 格式
      • SNAT 转换规则配置
    • DNAT 原理与应用
      • DNAT 应用环境
      • DNAT 原理
      • DNAT 转换前提条件
      • DNAT 格式
      • DNAT 转换规则配置
    • iptables 规则的备份和还原
      • 导出（备份）所有表的规则
      • 导入（还原）规则
      • 使用系统默认配置文件备份和还原规则
    • 使用 tcpdump 抓取网络数据包
      • 命令格式
      • 使用示例

SNAT 原理与应用

SNAT 应用环境

SNAT（源网络地址转换）通常用于局域网内的主机共享单个公网 IP 地址接入 Internet，因为私有 IP 地址不能在 Internet 中正常路由。

在这里插入图片描述

SNAT 原理

SNAT 的工作原理是将数据包的源地址从局域网地址转换为公网 IP 地址。

SNAT 转换前提条件

  1. 局域网内各主机已正确设置 IP 地址、子网掩码、默认网关地址。
  2. Linux 网关需要开启 IP 路由转发功能。

  • 临时打开 IP 路由转发：

    echo 1 > /proc/sys/net/ipv4/ip_forward

    或者：

    sysctl -w net.ipv4.ip_forward=1

  • 永久打开 IP 路由转发：
    编辑 /etc/sysctl.conf 文件，添加或修改以下内容：

    net.ipv4.ip_forward = 1

    然后，使用以下命令使修改生效：

    sysctl -p

SNAT 格式

SNAT (Source NAT) - 转换源地址

用于内网主机访问外网服务器时，转换数据包的源地址。

规则格式：

iptables -t nat -A POSTROUTING -s <内网源地址/网段> -o <出站网卡> -j SNAT --to <要转换的公网源地址>
  • -t nat：指定使用 nat 表。
  • -A POSTROUTING：在数据包路由后的处理链 POSTROUTING 中添加规则，适用于源地址转换（SNAT）。
  • -s <内网源地址/网段>：内网的源地址或网段，如 192.168.1.0/24。
  • -o <出站网卡>：指定出站的网卡接口，如 eth0。
  • -j SNAT：使用 SNAT 动作，表示源地址转换。
  • --to <要转换的公网源地址>：转换成的公网源地址，如 203.0.113.5。

SNAT 转换规则配置

  1. 固定的公网 IP 地址：

    将数据包源地址转换为指定的公网 IP 地址。

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to 12.0.0.1

    或使用 IP 地址池：

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j SNAT --to-source 12.0.0.1-12.0.0.10

    解释：192.168.80.0/24 为内网 IP，ens36 为外网网卡，12.0.0.1 或 12.0.0.1-12.0.0.10 为外网 IP 或地址池。

  2. 非固定的公网 IP 地址（共享动态 IP 地址）：

    使用 MASQUERADE 规则动态分配 IP 地址。

    iptables -t nat -A POSTROUTING -s 192.168.80.0/24 -o ens36 -j MASQUERADE

扩展：一个 IP 地址做 SNAT 转换，可以让 100 到 200 台内网主机实现上网。

DNAT 原理与应用

DNAT 应用环境

DNAT（目标网络地址转换）常用于在 Internet 中发布位于局域网内的服务器。

在这里插入图片描述

DNAT 原理

DNAT 的工作原理是将数据包的目的地址从公网地址转换为局域网内的服务器地址。

DNAT 转换前提条件

  1. 局域网内的服务器能够访问 Internet。
  2. 网关的外网地址有正确的 DNS 解析记录。
  3. Linux 网关需要开启 IP 路由转发功能。

编辑 /etc/sysctl.conf 文件，添加或修改以下内容：

net.ipv4.ip_forward = 1

然后使用以下命令使修改生效：

sysctl -p

DNAT 格式

DNAT (Destination NAT) - 转换目的地址

用于外网主机访问内网服务器时，转换数据包的目的地址及端口。

规则格式：

iptables -t nat -A PREROUTING -i <入站网卡> -d <原公网目的地址> -p <协议> --dport <原目的端口> -j DNAT --to <要转换的私网IP[:端口]
  • -t nat：指定使用 nat 表，nat 表用于处理网络地址转换。
  • -A PREROUTING：在数据包路由前的处理链 PREROUTING 中添加规则，适用于目标地址转换（DNAT）。
  • -i <入站网卡>：指定入站的网卡接口，如 eth0。
  • -d <原公网目的地址>：原目标公网地址，需要转换的目标地址，如 203.0.113.5。
  • -p <协议>：指定协议类型（如 tcp、udp）。
  • --dport <原目的端口>：原目标端口，需要转换的端口号，如 80。
  • -j DNAT：使用 DNAT 动作，表示目标地址转换。
  • --to <要转换的私网IP[:端口]>：要转换的内网服务器 IP 和端口，如 192.168.1.100:8080，端口部分为可选。

DNAT 转换规则配置

  1. 发布内网的 Web 服务：

    把从 ens33 进来的要访问 Web 服务的数据包的目的地址转换为 192.168.80.11：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11
# 端口号可省

    或者：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.80.11

    解释：ens33 为入站外网网卡，12.0.0.1 为外网 IP，192.168.80.11 为内网服务器 IP。

    如果要将目标地址转换为一个 IP 地址范围：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.80.11-192.168.80.20

  2. 发布时修改目标端口：

    发布局域网内部的 OpenSSH 服务器，外网主机需使用 250 端口进行连接：

    iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 250 -j DNAT --to 192.168.80.11:22

    在外网环境中使用 SSH 测试：

    ssh -p 250 root@12.0.0.1

注意：使用 DNAT 时，一般要配合 SNAT 使用，才能实现响应数据包的正确返回。

扩展

  • 主机型防火墙：主要使用 INPUT 和 OUTPUT 链，设置规则时一般要详细地指定端口。
  • 网络型防火墙：主要使用 FORWARD 链，设置规则时通常指定到 IP 地址或网段即可，很少指定到具体端口。

iptables 规则的备份和还原

导出（备份）所有表的规则

使用 iptables-save 命令将当前的 iptables 规则导出到一个文件中，以便于备份：

iptables-save > /opt/ipt.txt

导入（还原）规则

使用 iptables-restore 命令将备份的规则文件导入到系统中，实现规则的还原：

iptables-restore < /opt/ipt.txt

使用系统默认配置文件备份和还原规则

将 iptables 规则文件保存在 /etc/sysconfig/iptables 中。这样在 iptables 服务启动时，规则会自动还原：

iptables-save > /etc/sysconfig/iptables

或使用 mv 命令，替换掉默认规则文件。

  • 停止 iptables 服务会清空掉所有表的规则：

    systemctl stop iptables

  • 启动 iptables 服务会自动还原 /etc/sysconfig/iptables 中的规则：

    systemctl start iptables

使用 tcpdump 抓取网络数据包

tcpdump 是一个命令行界面的网络数据包抓取工具，可以用来分析网络通信情况。

命令格式

tcpdump 命令的一般使用格式如下：

tcpdump [协议] -i <网卡> -s 0 -c <抓包数量> [and src/dst port <端口号>] [and src/dst net <网段>] [and src/dst host <主机IP>] -w <文件名.cap>

选项说明：

  • [协议]：指定抓取的协议类型，如 tcp、udp、icmp 等，也可以是 ip、arp、rarp 等数据链路层协议类型。这些选项必须放在第一个参数的位置，用来过滤数据包的类型。
  • -i <网卡>：指定要监听的网卡接口，例如 ens33。只抓取经过此接口的网络数据包。
  • -s 0：设置抓包的快照长度，0 表示抓取完整的数据包。默认情况下，tcpdump 只抓取数据包的前 68 字节。
  • -c <抓包数量>：指定抓取的数据包数量，当达到该数量时停止抓包。
  • src/dst port <端口号>：指定源或目标端口号，用于过滤特定端口的数据包。可以用 ! 来排除某个端口号。
  • src/dst net <网段>：指定源或目标网络地址，用于过滤特定网段的数据包。
  • src/dst host <主机IP>：指定源或目标主机 IP 地址，用于过滤特定主机的数据包。
  • -w <文件名.cap>：将抓取的数据包保存到文件中（.cap 格式），便于后续用 Wireshark 或其他工具进行分析。
  • -t：不显示时间戳。

使用示例

示例 1：使用 tcpdump 抓取 TCP 数据包

抓取指定网络接口、协议类型、IP 范围以及端口号的基础上对数据进行过滤，并将结果保存到指定文件中用于后续的分析。

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
  • tcp：过滤 TCP 协议的数据包。
  • -i ens33：只抓取经过接口 ens33 的数据包。
  • -t：不显示时间戳。
  • -s 0：抓取完整的数据包。
  • -c 100：只抓取 100 个数据包。
  • dst port ! 22：不抓取目标端口为 22 的数据包。
  • src net 192.168.1.0/24：只抓取源网络地址为 192.168.1.0/24 的数据包。
  • -w ./target.cap：将抓取的结果保存到 target.cap 文件中。

示例 2：抓取从 192.168.100.100 主机发送的经过 ens33 网卡的 HTTP 协议的数据包

tcpdump tcp -i ens33 and src host 192.168.100.100 and dst port 80 -s 0 -w XXX.cap
  • tcp：过滤 TCP 协议的数据包。
  • -i ens33：只抓取经过接口 ens33 的数据包。
  • src host 192.168.100.100：只抓取源主机地址为 192.168.100.100 的数据包。
  • dst port 80：只抓取目标端口为 80（HTTP 协议端口） 的数据包。
  • -s 0：抓取完整的数据包。
  • -w XXX.cap：将抓取的结果保存到 XXX.cap 文件中。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/881567.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

您可能一直在寻找的 10 个非常有用的前端库

您可能一直在寻找的 10 个非常有用的前端库

文章目录 前言正文1.radash2.dayjs3.driver4.formkit/drag-and-drop5.logicflow6.ProgressBar7.tesseract8.zxcvbn9.sunshine-track10.lottie 前言 前端开发中&#xff0c;总有一些重复性的工作让我们疲于奔命。为了提高开发效率&#xff0c;我们精心挑选了10个功能强大、易于…
阅读更多...
打开Anaconda Navigator没反应，卡在Initializing...的解决方案

打开Anaconda Navigator没反应，卡在Initializing...的解决方案

一、问题描述 打开Anaconda Navigator时&#xff0c;一直卡在Initializing...没反应&#xff0c;如下图所示&#xff1a; 二、解决方案 进入Anaconda安装目录下找到并打开文件夹attribution&#xff08;笔者Anaconda安装目录在D盘下&#xff0c;读者可自行查找自己安装目录中…
阅读更多...
BUUCTF逆向wp [WUSTCTF2020]Cr0ssfun

BUUCTF逆向wp [WUSTCTF2020]Cr0ssfun

第一步 查壳&#xff0c;本题是64位&#xff0c;无壳。 第二步 查看主函数&#xff0c;点开看主函数&#xff0c;没什么东西。 左边表里面看到好几个i开头的函数&#xff08;红色方框里面&#xff09;&#xff0c;点开看后每个函数的最后末尾&#xff08;图中红色椭圆圈那里&a…
阅读更多...
Streamlit：使用 Python 快速开发 Web 应用

Streamlit：使用 Python 快速开发 Web 应用

一、简单介绍 Streamlit 是一个开源 Python 库&#xff0c;官网地址&#xff1a; https://streamlit.io/http://StreamlitStreamlit 是一个开源的 Python 框架&#xff0c;旨在为数据科学家和 后端工程师们提供只需几行代码即可创建动态数据应用的功能。 让没有任何前端基础…
阅读更多...
梯形区域分解实现避障路径规划全覆盖路径规划

梯形区域分解实现避障路径规划全覆盖路径规划

系列文章目录 提示&#xff1a;这里可以添加系列文章的所有文章的目录&#xff0c;目录需要自己手动添加 TODO:写完再整理 文章目录 系列文章目录前言&#xff08;1&#xff09;功能&#xff08;2&#xff09;算法&#xff08;3&#xff09;参考链接&#xff08;4&#xff09;…
阅读更多...
go语言后端开发学习(七)——如何在gin框架中集成限流中间件

go语言后端开发学习(七)——如何在gin框架中集成限流中间件

一.什么是限流 限流又称为流量控制&#xff08;流控&#xff09;&#xff0c;通常是指限制到达系统的并发请求数。 我们生活中也会经常遇到限流的场景&#xff0c;比如&#xff1a;某景区限制每日进入景区的游客数量为8万人&#xff1b;沙河地铁站早高峰通过站外排队逐一放行的…
阅读更多...
【STM32】独立看门狗（IWDG）原理详解及编程实践（上）

【STM32】独立看门狗（IWDG）原理详解及编程实践（上）

本篇文章是对STM32单片机“独立看门狗&#xff08;IWDG&#xff09;”的原理进行讲解。希望我的分享对你有所帮助&#xff01; 目录 一、什么是独立看门狗 &#xff08;一&#xff09;简介 &#xff08;二&#xff09;、独立看门狗的原理 &#xff08;三&#xff09;、具体操…
阅读更多...
51.字符串比较实例-用户登录

51.字符串比较实例-用户登录

//已知正确的用户名和密码&#xff0c;请用程序实现模拟用户登录 //总共三次机会&#xff0c;登录之后给出相应的提示 import java.util.Scanner;public class 登录 {public static void main(String[] args) {//1.定义两个变量&#xff0c;记录正确的用户名和密码String righ…
阅读更多...
springboot+redis+缓存

springboot+redis+缓存

整合 添加依赖 <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis</artifactId> </dependency> 连接redis&#xff0c;配置yml文件 主机 端口号 数据库是哪一个 密码 配置类 p…
阅读更多...
滑动窗口算法专题（1）

滑动窗口算法专题（1）

找往期文章包括但不限于本期文章中不懂的知识点&#xff1a; 个人主页&#xff1a;我要学编程(ಥ_ಥ)-CSDN博客 所属专栏&#xff1a; 优选算法专题 目录 滑动窗口算法的简介 209. 长度最小的子数组 3.无重复字符的最长子串 1004. 最大连续1的个数III 1658. 将减到0的最小…
阅读更多...
基于python上门维修预约服务数据分析系统

基于python上门维修预约服务数据分析系统

目录 技术栈和环境说明解决的思路具体实现截图python语言框架介绍技术路线性能/安全/负载方面可行性分析论证python-flask核心代码部分展示python-django核心代码部分展示操作可行性详细视频演示源码获取 技术栈和环境说明 结合用户的使用需求&#xff0c;本系统采用运用较为广…
阅读更多...
Linux相关概念和重要知识点（5）（权限的修改、时间属性）

Linux相关概念和重要知识点（5）（权限的修改、时间属性）

1.权限的修改 &#xff08;1&#xff09;提权行为 普通用户是会受到权限的限制&#xff0c;但root账户无视一切权限限制&#xff0c;因此当我们要获取更高的权限&#xff0c;有一种办法就是将自己变成root或者短暂拥有和root一样的权力。 普通用户 -> root &#xff1a;s…
阅读更多...
robomimic应用教程（一）——模型训练

robomimic应用教程（一）——模型训练

Robomimic使用集中式配置系统来指定所有级别的(超)参数 本文介绍了配置&#xff08;推荐&#xff09;和启动训练运行的两种方法 目录 一、使用config json&#xff08;推荐&#xff09; 二、在代码中构造一个配置对象 三、查看运行结果 1. 实验结果会存在一个固定文件夹中…
阅读更多...
地信、测绘、遥感、地质相关岗位招聘汇总

地信、测绘、遥感、地质相关岗位招聘汇总

3s等相关专业25秋招&提前批招聘信息 该岗位信息表&#xff0c;覆盖全国各大省市&#xff0c;招聘岗位主要针对地信、测绘、地质、遥感、城规等专业。 1800WebGIS开发岗位汇总表 该信息表&#xff0c;主要是WebGIS开发岗为主&#xff0c;岗位要求熟悉熟悉Openlayers&#…
阅读更多...
Python编码系列—Python桥接模式：连接抽象与实现的桥梁

Python编码系列—Python桥接模式：连接抽象与实现的桥梁

&#x1f31f;&#x1f31f; 欢迎来到我的技术小筑&#xff0c;一个专为技术探索者打造的交流空间。在这里&#xff0c;我们不仅分享代码的智慧&#xff0c;还探讨技术的深度与广度。无论您是资深开发者还是技术新手&#xff0c;这里都有一片属于您的天空。让我们在知识的海洋中…
阅读更多...
哪个快？用300万个图斑测试ArcGIS Pro的成对叠加与经典叠加

哪个快？用300万个图斑测试ArcGIS Pro的成对叠加与经典叠加

​​​ 点击下方全系列课程学习 点击学习—>ArcGIS全系列实战视频教程——9个单一课程组合系列直播回放 点击学习——>遥感影像综合处理4大遥感软件ArcGISENVIErdaseCognition 在使用ArcGIS Pro的过程中&#xff0c;很多朋友发现&#xff0c;Pro有个成对叠加工具集。很多…
阅读更多...
计算机毕业设计之：教学平台微信小程序（

计算机毕业设计之：教学平台微信小程序（

博主介绍&#xff1a; ✌我是阿龙&#xff0c;一名专注于Java技术领域的程序员&#xff0c;全网拥有10W粉丝。作为CSDN特邀作者、博客专家、新星计划导师&#xff0c;我在计算机毕业设计开发方面积累了丰富的经验。同时&#xff0c;我也是掘金、华为云、阿里云、InfoQ等平台…
阅读更多...
全国职业院校技能大赛（大数据赛项）-平台搭建hive笔记

全国职业院校技能大赛（大数据赛项）-平台搭建hive笔记

在大数据时代&#xff0c;数据量呈爆炸性增长&#xff0c;传统的数据处理工具已难以满足需求。Hive作为一个开源的数据仓库工具&#xff0c;能够处理大规模数据集&#xff0c;提供了强大的数据查询和分析能力&#xff0c;是大数据学习中的关键工具。在全国职业院校技能大赛&…
阅读更多...
Git使用详解：从安装到精通

Git使用详解：从安装到精通

前言 什么是Git Git是一个分布式版本控制工具&#xff0c;主要用于管理开发过程中的源代码文件&#xff08;Java类、xml文件、html页面等&#xff09;&#xff0c;在软件开发过程中被广泛使用。 可以理解&#xff1a; git是一个管理源代码的工具&#xff0c;主要用于企业团队开…
阅读更多...
【数据结构C语言】【入门】【首次万字详细解析】入门阶段数据结构可能用到的C语言知识，一章让你看懂数据结构！！！！！！！

【数据结构C语言】【入门】【首次万字详细解析】入门阶段数据结构可能用到的C语言知识，一章让你看懂数据结构！！！！！！！

前言&#xff1a;欢迎各位光临本博客&#xff0c;这里小编带你直接手撕入门阶段的数据结构的C语言知识&#xff0c;让你不再看见数据结构就走不动道。文章并不复杂&#xff0c;愿诸君耐其心性&#xff0c;忘却杂尘&#xff0c;道有所长&#xff01;&#xff01;&#xff01;&am…
阅读更多...
最新文章

Copyright @ 2022~2023