4.iptables SNAT DNAT

一、SNAT策略及应用

1、SNAT策略概述

SNAT应用环境

局域网主机共享单个公网IP地址接入Internet（私有IP不能在Internet中正常路由）

SNAT策略的原理

源地址转换，根据指定条件修改数据包的源IP地址，通常被叫做源映射。

SNAT转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认路由发送数据

Linux网关开启IP路由转发

1.1、开启SNAT命令

Linux系统本身是没有转发功能 只有路由发送数据
临时开启

echo 1 >/proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip forward=1

永久开启

vim /etc/ sysctl. conf
net. ipv4.ip_ forward = 1				#将此行写入配置文件
 
sysctl -P				#读取修改后的配置

1.2 SNAT转换1：固定的公网IP地址

#配置SNAT策略，实现snat功能，将所有192.168.100.0这个网段的ip的源ip改为10.0.0.1
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to 10.0.0.1
                                    可换成单独IP   出站外网网卡            外网IP
或
iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 10.0.0.1-10.0.0.10
                                     内网IP   出站外网网卡                    外网IP或地址池

1.3 SNAT转换2：非固定的公网IP地址（共享动态IP地址）

iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE

1.4 案例

192.168.1.250 --> 192.168.1.249 --> 192.168.1.43:80

1.4.1 192.168.1.250的网关指向192.168.1.249

route add -host 192.168.1.43  gw 192.168.1.249   #发往192.168.1.43的请求 网关是192.168.1.249 请求192.168.1.43的数据会发向192.168.1.249

#验证
[root@zabbix-proxy ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
192.168.1.43    192.168.1.249   255.255.255.255 UGH   0      0        0 eth0

1.4.2 192.168.1.249 开启内核转发 POSTROUTING链做SNAT 转换src_ip

#开启内核转发
[root@zabbix ~]# cat /proc/sys/net/ipv4/ip_forward
1

#添加SNAT规则
[root@zabbix ~]# iptables -t nat -I  POSTROUTING -s 192.168.1.250/32 -d 192.168.1.43 -p tcp --dport 80 -j MASQUERADE
#来源地址是192.168.1.250 目的地地址是192.168.1.43:80的数据包 src_ip 更换为本机ip地址

1.4.3 192.168.1.250 发送请求

curl 192.168.1.43

1.4.4 192.168.1.43 进行验证

#tcpdump抓包进行验证
tcpdump -i p3p1 port 80 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on p3p1, link-type EN10MB (Ethernet), capture size 262144 bytes
15:48:05.285997 IP 192.168.1.249.38754 > 192.168.1.43.http: Flags [S], seq 939672207, win 29200, options [mss 1460,sackOK,TS val 1885570437 ecr 0,nop,wscale 7], length 0
15:48:05.286041 IP 192.168.1.43.http > 192.168.1.249.38754: Flags [S.], seq 2964534852, ack 939672208, win 28960, options [mss 1460,sackOK,TS val 48673200 ecr 1885570437,nop,wscale 7], length 0

#nginx日志进行验证 
[root@rstx-43 ~]# tail -f   /var/log/nginx/yum_access.log
192.168.1.249 - - [07/Oct/2022:15:48:05 +0800] "GET / HTTP/1.1" 200 4250 "-" "curl/7.29.0" "-" "192.168.1.43"
192.168.1.249 - - [07/Oct/2022:15:50:13 +0800] "GET / HTTP/1.1" 200 4250 "-" "curl/7.29.0" "-" "192.168.1.43"

二、DNAT原理与应用

2.1、DNAT 应用环境

在Internet中发布位于局域网内的服务器

DNAT原理

修改数据包的目的地址

DNAT转换前提条件

局域网的服务器能够访问Internet
Linux网关开启IP路由转发

2.2、DNAT转换

把从ens33进来的要访问web服务的数据包目的地址转换为 192.168.80.11

iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.100.118
或者
iptables -t nat -A PREROUTING -i ens37 -d 10.0.0.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.118
 
iptables -t nat -A PREROUTING -i ens37 -p tcp --dport 80 -j DNAT --to 192.168.100.13-192.168.100.20

2.3 案例

192.168.1.250 --> 192.168.1.249:9999 --> 192.168.1.43:80

2.3.1 192.168.1.249开启内核转发 开启DNAT 目标地址网络转换 dest_ip dest_port 发生改变（网段不一致SNAT规则必须设置好）

#设置SNAT 把所有192.168.1.250发过来的数据包改变 src_ip src_port 在POSTROUTING链 
iptables -t nat -I POSTROUTING -s 192.168.1.250 -j MASQUERADE

#设置DNAT 改变192.168.1.250发往192.168.1.249:9999  dest_ip dest_port   
iptables -t nat -I PREROUTING -d 192.168.1.249 -p tcp --dport 9999  -j DNAT --to 192.168.1.43:80

#DNAT阶段 把原数据包的dest_ip(192.168.1.249):dest_port(9999) 改变为dest_ip(192.168.1.43):dest_port(80) 
#SNAT阶段 把原数据包的src_ip(192.168.1.250):src_port(xxxx) 改变为src_ip(192.168.1.249):src_port(xxxx) 发往192.168.1.43:80