怎么用iptable完成端口映射?
Q：一局域网192.168.1.0/24，有web和ftp服务器192.168.1.10、192.168.1.11,网关linux，内网eth0，IP为192.168.1.1，外网eth1，IP为a.b.c.d，怎样作NAT能使内外网都能访问公司的服务器？
A：# web
# 用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
# 用SNAT作源地址转换（关键），以使回应包能正确返回
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1
# 一些人经常忘了打开FORWARD链的相关端口，特此增加
iptables -A FORWARD -o eth0 -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.10 -p tcp --sport 80 -m --state ESTABLISHED -j ACCEPT
# ftp
modprobe ip_nat_ftp ###加载ip_nat_ftp模块（若没有编译进内核），以使ftp能被正确NAT
modprobe ip_conntrack_ftp ###加载ip_conntrack_ftp模块
# 用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 21 -j DNAT --to 192.168.1.11
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 21 -m --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 20 -m --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 20 -m --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 1024: -m --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 1024: -m --state ESTABLISHED -j ACCEPT
# 用SNAT作源地址转换（关键），以使回应包能正确返回
iptables -t nat -A POSTROUTING -d 192.168.1.11 -p tcp --dport 21 -i eth0 -j SNAT --to 192.168.1.1
Q：网络环境如上一问题，还在网关上用squid进行透明代理，也作了SNAT了，为什么内网还是不能访问公司的web服务器?iptables如下：
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1
A：问题主要在PREROUTING链中REDIRECT和DNAT的顺序，由于先进行了REDIRECT（重定向），则到第二句DNAT时，端口已变为3128，不匹配第二句的目的端口80，DNAT也就不会执行，不能到达正确的目的地。解决的办法有两个：
1、把REDIRECT语句放到DNAT语句的后面，如下：
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
2、在REDIRECT语句中增加匹配目的地址"-d ! a.b.c.d"，如下：
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d ! a.b.c.d -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
Q：怎样用iptables封杀QQ呢？我使用iptables -A INPUT -p udp --dport 8000 -j REJECT为什么不行啊？
A：只有目的地址为本机的包才进入INPUT链，QQ服务器显然不在本机运行，所以必须在FORWARD链上过滤：
iptables -A FORWARD -p udp --dport 8000 -j DROP
Q：想用iptables+squid做代理上网，单独用iptables作伪装或用squid作传统代理（在IE中设代理IP和端口）都能正常上网，但加上端口重定向做成透明代理后却不能上网，为什么？
A：透明代理和传统代理squid的配置是不一样的。修改squid.conf使之包含以下内容：
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
Q：系统RH7.3，我用"iptables -L"出现一堆错误，怎么回事？
/lib/modules/2.4.18-3/kernel/net/ipv4/netfilter/ip_tables.o: inti_module:Device
or resource busy
Hint: insmod errors can be caused by incorrect module parameters, including inva
lid IO or IRQparameters
/lib/modules/2.4.18-3/kernel/net/ipv4/netfilter/ip_tables.o:insmod/lib/modules
/2/4/18-3/kernel/net/ipv4/netfilter/ip_tables.o failed
/lib/modules/2.4.18_3/kernel/net/ipv4/netfilter/ip_tables.o:insmod ip_tables fa
iled
iptables v1.2.5: can't initialize iptables table 'filter':iptables who?(do you
need to insmod?)
perhaps iptables or your kernel needs to be upgraded.'
A：默认的，RH7.*系列的是启动ipchains，iptables和ipchains只能运行其中的一种。要用iptables，需停掉ipchains：
# chkconfig --level 12345 ipchains off
# rmmod ipchains
或用setup进行设置。
Q：squid做代理，当客户机用WEB页面收发邮件时，附件不能大于1M，为什么？
A：在squid.conf的option for tuning cache选项中有一项request_body_max_size 设置成0就可以了：
request_body_max_size 0
Q：如何将squid配置成二级代理，上级代理IP：a.b.c.d，端口8080。
A：修改squid.conf使之包含类似如下内容：
cache_peer a.b.c.d parent 8080 0 no-query ###定义父代理a.b.c.d，端口8080
acl all src 0.0.0.0/0.0.0.0 ###acl控制列表
http_access allow all
never_direct allow all ###所有请求转发至上级代理
Q：如何限制使用squid 的同一个ip 的连接数？
A：修改squid.conf，以下两句限制每ip不得超过10连接：
acl BadUser maxconn 10
http_access deny BadUser
A：# web
# 用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
# 用SNAT作源地址转换（关键），以使回应包能正确返回
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1
# 一些人经常忘了打开FORWARD链的相关端口，特此增加
iptables -A FORWARD -o eth0 -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.10 -p tcp --sport 80 -m --state ESTABLISHED -j ACCEPT
# ftp
modprobe ip_nat_ftp ###加载ip_nat_ftp模块（若没有编译进内核），以使ftp能被正确NAT
modprobe ip_conntrack_ftp ###加载ip_conntrack_ftp模块
# 用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 21 -j DNAT --to 192.168.1.11
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 21 -m --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 20 -m --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 20 -m --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 1024: -m --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 1024: -m --state ESTABLISHED -j ACCEPT
# 用SNAT作源地址转换（关键），以使回应包能正确返回
iptables -t nat -A POSTROUTING -d 192.168.1.11 -p tcp --dport 21 -i eth0 -j SNAT --to 192.168.1.1
Q：网络环境如上一问题，还在网关上用squid进行透明代理，也作了SNAT了，为什么内网还是不能访问公司的web服务器?iptables如下：
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1
A：问题主要在PREROUTING链中REDIRECT和DNAT的顺序，由于先进行了REDIRECT（重定向），则到第二句DNAT时，端口已变为3128，不匹配第二句的目的端口80，DNAT也就不会执行，不能到达正确的目的地。解决的办法有两个：
1、把REDIRECT语句放到DNAT语句的后面，如下：
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
2、在REDIRECT语句中增加匹配目的地址"-d ! a.b.c.d"，如下：
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d ! a.b.c.d -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128
Q：怎样用iptables封杀QQ呢？我使用iptables -A INPUT -p udp --dport 8000 -j REJECT为什么不行啊？
A：只有目的地址为本机的包才进入INPUT链，QQ服务器显然不在本机运行，所以必须在FORWARD链上过滤：
iptables -A FORWARD -p udp --dport 8000 -j DROP
Q：想用iptables+squid做代理上网，单独用iptables作伪装或用squid作传统代理（在IE中设代理IP和端口）都能正常上网，但加上端口重定向做成透明代理后却不能上网，为什么？
A：透明代理和传统代理squid的配置是不一样的。修改squid.conf使之包含以下内容：
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
Q：系统RH7.3，我用"iptables -L"出现一堆错误，怎么回事？
/lib/modules/2.4.18-3/kernel/net/ipv4/netfilter/ip_tables.o: inti_module:Device
or resource busy
Hint: insmod errors can be caused by incorrect module parameters, including inva
lid IO or IRQparameters
/lib/modules/2.4.18-3/kernel/net/ipv4/netfilter/ip_tables.o:insmod/lib/modules
/2/4/18-3/kernel/net/ipv4/netfilter/ip_tables.o failed
/lib/modules/2.4.18_3/kernel/net/ipv4/netfilter/ip_tables.o:insmod ip_tables fa
iled
iptables v1.2.5: can't initialize iptables table 'filter':iptables who?(do you
need to insmod?)
perhaps iptables or your kernel needs to be upgraded.'
A：默认的，RH7.*系列的是启动ipchains，iptables和ipchains只能运行其中的一种。要用iptables，需停掉ipchains：
# chkconfig --level 12345 ipchains off
# rmmod ipchains
或用setup进行设置。
Q：squid做代理，当客户机用WEB页面收发邮件时，附件不能大于1M，为什么？
A：在squid.conf的option for tuning cache选项中有一项request_body_max_size 设置成0就可以了：
request_body_max_size 0
Q：如何将squid配置成二级代理，上级代理IP：a.b.c.d，端口8080。
A：修改squid.conf使之包含类似如下内容：
cache_peer a.b.c.d parent 8080 0 no-query ###定义父代理a.b.c.d，端口8080
acl all src 0.0.0.0/0.0.0.0 ###acl控制列表
http_access allow all
never_direct allow all ###所有请求转发至上级代理
Q：如何限制使用squid 的同一个ip 的连接数？
A：修改squid.conf，以下两句限制每ip不得超过10连接：
acl BadUser maxconn 10
http_access deny BadUser
