DNAT策略概述：
DNAT策略的典型應用環(huán)境
在Internet中發(fā)布位于企業(yè)局域網(wǎng)內的服務(wù)器
DNAT策略的原理
目標地址轉換，Destination Network Address Translation，是Linux防火墻的另一種地址轉換操作，也是iptables命令中的一種數據包控制類(lèi)型，其作用是根據指定條件修改數據包的目標IP地址、目標端口。
SNAT用來(lái)修改源IP地址，而DNAT用來(lái)修改目標IP地址、目標端口；SNAT只能用在nat表的POSTROUTING鏈，而DNAT只能用在nat表的PREROUTING鏈和OUTPUT鏈（或被其調用的鏈）中。
DNAT策略的應用：
前提條件：
局域網(wǎng)的Web服務(wù)器能夠訪(fǎng)問(wèn)Internet
網(wǎng)關(guān)的外網(wǎng)IP地址有正確的DNS解析記錄
Linux網(wǎng)關(guān)支持IP路由轉發(fā)
實(shí)現方法：
編寫(xiě)DNAT轉換規則：
實(shí)驗部署：
實(shí)驗描述：
1.要求主機型防火墻（在192.168.10.2）上配置：
只提供web、ssh服務(wù)；
192.168.10.2可以訪(fǎng)問(wèn)網(wǎng)絡(luò )上其他主機；
2.網(wǎng)絡(luò )型防火墻（在網(wǎng)關(guān)主機配置）。
局域網(wǎng)內主機共享一個(gè)共有IP地址訪(fǎng)問(wèn)Internet；
Internet可以訪(fǎng)問(wèn)公司的網(wǎng)站；
管理員在外網(wǎng)可遠程管理公司web服務(wù)器（不使用標準端口）；
不允許局域網(wǎng)用戶(hù)ping到外網(wǎng)；
防火墻本機不提供任何訪(fǎng)問(wèn)，但可訪(fǎng)問(wèn)其他主機。
實(shí)驗步驟：
a.只提供web、ssh服務(wù)；192.168.10.2可以訪(fǎng)問(wèn)網(wǎng)絡(luò )上其他主機：
[root@webssh ~]# iptables -P INPUT DROP
[root@webssh ~]# iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@webssh ~]# iptables -I INPUT -p tcp --dport 80 -j ACCEPT
[root@webssh ~]# iptables -I INPUT -p tcp --dport 22 -j ACCEPT
b.局域網(wǎng)內主機共享一個(gè)共有IP地址訪(fǎng)問(wèn)Internet；
[root@gateway ~]# iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to-source 173.16.16.1
Internet可以訪(fǎng)問(wèn)公司的網(wǎng)站；
[root@gateway ~]# iptables -t nat -A PREROUTING -i eth0 -d 173.16.16.1 -p tcp--dport 80 -j DNAT --to 192.168.10.2
c：正確設置DNAT策略：
管理員在外網(wǎng)可遠程管理公司web服務(wù)器（不使用標準端口）；
[root@gateway ~]# iptables -t nat -A PREROUTING -i eth0 -d 173.16.16.1 -p tcp--dport 2346 -j DNAT --to-destination 192.168.10.2:22
不允許局域網(wǎng)用戶(hù)ping到外網(wǎng)；
[root@gateway ~]# iptables -A FORWARD -p icmp -j DROP
防火墻本機不提供任何訪(fǎng)問(wèn)，但可訪(fǎng)問(wèn)其他主機。
[root@gateway ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
在外網(wǎng)服務(wù)器開(kāi)啟httpd服務(wù)并添加主頁(yè)內容：
在網(wǎng)關(guān)服務(wù)器上開(kāi)啟路由轉發(fā)功能：
整個(gè)實(shí)驗到此就完成了，實(shí)驗要求一一滿(mǎn)足，根據需求還可以實(shí)現更多的功能，有待大家去發(fā)現。
聯(lián)系客服
