Iptables Nat转发
Posted
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Iptables Nat转发相关的知识，希望对你有一定的参考价值。
Iptables Nat
iptables子命令：
规则：
-A:添加
-I:插入
-D:删除
-R:修改
链：
-N:新建一条自定义的链
-X:删除一条自定义的空链
-F:清空链中的规则
-Z:清空链中的计数器
-E:重命名自定连的名称
-P:修改链的默认规则
显示：
-L：
-n,-v,--line-numbers
-S:
规则定义：iptables -t table -A|-I|-R chain 匹配条件 -j target
匹配条件：
通用匹配：-s，-d，-i，-o，-p
扩展匹配：
隐含扩展
-p tcp
--sport --dport --tcp-flags
--syn
-p udp
--sport --dport
-p icmp
--icmp-type
echo-request：8
echo-reply：0
显示扩展
-m state
--state
-m multiport
--sports，--dports，--ports
-m iprange
--src-range，--dst-range
-m string
--algo {bm|kmp},--string,--hex-string
-m connlimit
--connlimit-above
-m limit
--limit n(/second|minute|hour|day),--limit-burst
-m time
--datestart,--datestop
--timestart,--timestart
--weekdays
-j
ACCEPT DROP REJECT LOG REDIRCT SNAT DNAT MASQUERADE MARK RETURN 自定义链
四表：raw mangle nat filter
五链：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING
主机防火墙：INPUT,OUTPUT
网络防火墙：
路由：对于Linux主机来说，设定/proc/sys/net/ipv4/ip_forward的值为1，即为开启了路由功能.
路由表的生成：
静态：手动添加
动态：基于路由协议学习，RIP2,OSPF
NAT：网络地址转换
A:10
B:172.16-172.31
C:192.168.0-192.168.255
NAT:工作在网络层和传输层
Proxy：工作在应用层
iptables -P FORWARD DROP
网关必须和本地ip在同一局域网内
一个请求进来首先交给本机，本机未匹配到再交给网关.
172.16.0.177---{172.16.0.192|192.168.30.11}-----192.168.30.129
# iptables -A FORWARD -d 192.168.30.129 -m state --state ESTABLISHED -j ACCEPT
# iptables -A FORWARD -d 192.168.30.129 -p tcp -m multiport --dports 22,80 -m state --state NEW -j ACCEPT
NAT：
Basic Nat:静态NAT.
NAPT:动态NAT,网络地址端口转换.
源地址转换：SNAT，用于让内网主机访问互联网.
目标地址转换：DNAT，让互联网上的主机访问本地内网中的某服务器上的服务.
Iptables 基于SNAT和DNAT这两个目标实现地址转换技术.
-j SNAT --to-source
添加到post链.
# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
PREROUTING：主要做DNAT
POSTROUTING OUTPUT 主要做SNAT
#SNAT实例；
所有来自172.16.0.0/24的ip全部做SNAT,转换为 192.168.30.129
# iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -j SNAT --to-source 192.168.30.129
-j:MASQUERADE 地址伪装
-j:DNAT --to-destination DIP[:PORT]
支持端口映射
# iptables -t nat -A PREROUTING -d 172.16.0.192 -p tcp --dport 80 -j DNAT --to-destination 192.168.30.129
访问本地扯淡2222端口，做DNAT跳到192.168.30.129的22端口.
# iptables -t nat -A PREROUTING -d 172.16.0.192 -p tcp --dport 2222 -j DNAT --to-destination 192.168.30.129:22
UDP多端口转发：
有两种写法,多端口的匹配可以使用":"匹配范围，也可以使用"-"匹配范围.
第一种：
#-A PREROUTING -d 192.168.30.129 -p udp --dport 41861:41868 -j DNAT --to-destination 172.16.10.192:41861-41868
#-A POSTROUTING -s 172.16.10.192 -p udp --dport 41861:41868 -j SNAT --to-source 192.168.30.131
匹配端口范围，但是nat转发时会端口错乱，有时转发可能并未达到想要的结果.
第二种：
一个端口一条的匹配.
本文出自 “蚂蚁” 博客，请务必保留此出处http://215687833.blog.51cto.com/6724358/1954138
以上是关于Iptables Nat转发的主要内容，如果未能解决你的问题，请参考以下文章