iptables之SNAT,DNAT原理与DNS分离解析实验

1.SNAT 策略

局域网主机共享单个公网IP地址接入Internet（私网不能在Internet(公网)中正常路由因为公网有个机制叫黑洞路由（吸收私网数据包并丢弃））

2.SNAT原理 (source network address translation)
修改数据包源地址

3.SNAT转换前提条件在nat表中做

1. 局域网各主机已正确设置ip地址，子网掩码，默认网关地址

2. linux网关开启路由转发

4.网关服务器要打开ip路由转发功能

1.0打开方式（1.临时打开）

sysctl -w net.ipv4.ip_forword=1

sysctl -p 加载

2.0.永久打开

vim /etc/sysctl.conf

sycctl -p

5.网关服务器配置

方式一：

iptables -t nat -A POSTROUTING -s 192.168.159.0/24 -o ens33-j SNET --to 12.0.0.254

主要代码配置指定地址

方式二：

iptables -t nat -A POSTROUTING -s 192.168.159.0/24 -o ens33 -j MASQUERADE

指定动态地址

实验步骤：

1.需要准备三台主机 1台内网服务器 1台网关服务器 1台外网服务器

2.实验目的：实现内外网服务器的访问

内网服务器配置： ip地址192.168.61.10 网关 192.168.61.20要想外网访问内网必须安装htppd服务。


 1  ifconfig
    2  systemcel status iptables
    3  systemcel status iptables.server
    4  systemcel start iptables.server
    5  iptables -nvL
    6  iptables -nvL INPUT
    7  iptables -t filter -A INPUT -p tcp --dport 20:21 -j REJECT
    8  iptables -nvL INPUT
    9  iptables -nvL --line-numbers
   10  iptables -nvL -t filter --line-numbers
   11  iptables -nvL input --line-numbers
   12  iptables -nvL input
   13  iptables -P INPUT DROP
   14  iptables -nvL input
   15  iptables -nvL
   16  iptables -F
   17  iptables -P INPUT DROP 
   18  iptables -A INPUT --dport 22 -j REJECT
   19  iptables -A INPUT --dport22 -j REJECT
   20  iptables -A INPUT -p tcp --dport 22 -j REJECT
   21  ping 192.168.61.20
   22  iptables -A FORWORD -p udp -m iprange --src-range 192.168.61.20-192.168.61.50 -j REJECT
   23  iptables -A FORWARD -p udp -m iprange --src-range 192.168.61.20-192.168.61.50 -j REJECT
   24  ping 192.168.61.20
   25  iptables -A INPUT -p tcp -m state--state ESTABLISHED,RELATED -j ACCEPT
   26  iptables -A INPUT -p tcp -m state--state ESTABLISHED ,RELATED -j ACCEPT
   27  iptables -A INPUT -p tcp -m state --state ESTABLISHED ,RELATED -j ACCEPT
   28  iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
   29  cd /etc/sysconfig
   30  ls
   31  cd /etc/sysconfig
   32  ls
   33  vim iptables
   34  iptables-save>/opt/1.txt
   35  cd opt
   36  cd /opt
   37  ls
   38  ls 1.txt
   39  cat 1.txt
   40  cd sysconfig
   41  cd /etc/sysconfig
   42  ls
   43  ls iptables
   44  cat iptables
   45  iptables-restore </opt/1.txt
   46  cat iptables
   47  ifconfig
   48  iptables
   49  iptables -nL
   50  iptables -F
   51  iptables -nL
   52  ifconfig
   53  vim /etc/sysconfig/network-scripts/ifcfg-ens33
   54  systemctl restart network
   55  ping 192.168.61.20
   56  ping 192.168.61.10
   57  systemctl stop firewalld
   58  setenforce 0
   59  ifconfig 
   60  cd /etc/sysconfig/network-scripts/
   61  ls
   62  vim ifcfg-ens33 
   63  yum install -y httpd
   64  cd yum.repos.d
   65  cd /etc/yum.repos.d
   66  ls
   67  mkdir bak
   68  mv *.repo bak
   69  vim local.repo
   70  df
   71  mount /dev/sr0 /mnt
   72  yum install -y httpd
   73    
   74  systemctl status httpd
   75  systemctl start httpd

网关服务器配置：（需要添加一块网卡，一个做内网网关，一个作外网网关,网关服务器需要设置一个转发功能编辑 vim /etc/sysctl.conf 添加配置 nat.ipv4.ip_forward=1 1是开启的意思。

网关服务器不需要网关和dns直接在配置文件注释即可，只需保存ip地址即是内网网关。）


  1  cd ~
    2  vim /etc/sysconfig/network-scripts/ifcfg-ens33
    3  systemctl restart network
    4  ping www.baidu.com
    5  ifconfig
    6  cd /etc/sysconfig/network-scripts/
    7  ls
    8  vim ifcfg-ens33 
    9  cp ifcfg-ens33 ifcfg-ens36
   10  vim ifcfg-ens36
   11  systemctl restart network
   12  ifconfig
   13  vim ifcfg-ens36
   14  ping 12.0.0.12
   15  vim /etc/sysctl.conf
   16  sysctl -p
   17  ping 192.168.61.20
   18  ifconfig
   19  vim ifcfg-ens33
   20  systemctl status iptables
   21  yum install -y iptables iptables-services
   22  df
   23  mount /dev/sr0 /mnt
   24  yum install -y iptables iptables-services
   25  df
   26  cd /etc/yum.repos.d
   27  ls
   28  mkdir bak
   29  mv *.repo bak
   30  vim local.repo
   31  yum install -y iptables iptables-services
   32  systemctl start iptables
   33  systemctl status iptables
   37  systemctl stop firewalld
   38  setenforce 0
   39  vim /etc/sysctl.conf      #在这个文件里面添加net.ipv4.ip_forward=1
   40  sysctl -p                 #加载一下网关服务器的转发功能
   41  ifconfig 
   42  iptables -nvL -t nat
   43  iptables -F
   45  iptables -F
   46  iptables -t nat -A POSTROUTING -s 192.168.61.0/24 -o ens33 -j SNAT --to 12.0.0.12
       ######### -o ens33为出站口   -s指定源地址
   47  iptables -nvL -t nat
   48  iptables -D 1 -t nat 
   49  iptables -D 1 -t nat
   50  iptables -F -t nat
   51  iptables -nvL -t nat
   55  iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.12 -p tcp --dport 80 -j DNAT --to 
       192.168.61.20 
       ########## -i 指定ens36入站口  -d指定目的地址  -p 指定协议  --dport  指定端口号
       ####192.168.61.20为源地址

外网服务器：（ip地址 12.0.0.12 ）要想内网通过网关服务器访问外网必须安装httpd服务


 
    2  cd /etc/sysconfig/network-scripts/
    4  vim ifcfg-ens33
    5  ifconfig
    6  systemctl restart network
    7  ifconfig
    8  vim ifcfg-ens33
    9  systemctl restart network
   10  ifconfig
   11  systemctl restart network
   12  yum install -y httpd
   13  systemctl stop firewalld
   14  setenforce 0
   15  vim ifcfg-ens33
   16  rpm -qc httpd
   17  rpm -q httpd
   18  yum install -y httpd
   19  systemctl stop firewalld
   20  setenforce 0
   27  systemctl restart network
   28  ping 12.0.0.12
   29  ping 12.0.0.254
   30  vim ifcfg-ens33
   31  systemctl stop firewalld
   32  setenforce 0
   36  yum install -y httpd
   38  systemctl status httpd
   39  systemctl start httpd
   41  cd /var/log/httpd
   43  taif -f access_log
   44  taif access_log
   45  tail -f access_log
   46  cd /var/log/httpd/
   48  tail -f access_log

查看httpd程序日志文件在/var/log/httpd/access_log中

防火墙规则的备份和还原

iptables -save > /opt/1.txt (备份)

iptables -restore < /opt/1.txt (还原)

DNAT策略（目的地址转换）

目的：修改数据包的目的地址

网关服务器主要配置：

1.打开路由转发

2.做SNAT和DNAT转换

iptables -t nat -A POSTROUTING -s 192.168.61.0/24 -o ens36 -j SNET --to 12.0.0.254

iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.80.20：80

windows访问12.0.0.254网关

在内网日志中显示的ip记录是12.0.0.100windows主机地址

因为访问时DNAT会把目标地址转换为公网地址，而公网地址通过路由转发给源地址

抓包

tcpdump tcp -i ens33 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

-tcp -udp -icmp协议抓包时必须写在前面

-i ens33 抓取经过ens33的网卡的包

-t 不显示时间戳

-s 0 抓取数据包默认68字节 -s 0代表可以抓取完整包

-c 100 指抓取100个包

src net 192.168.1.0/24 数据包源网络地址

-w 指定保存路径文件为 ./target.cap

要在ens33抓取http协议相关的包

tcpdump http -i ens33 -s 0 -w

dns网关服务器域名解析

这边注意编写的文件一定要是index.html文件才可以访问 html文件位于/var/www/html下

dns分离解析实现用域名访问主机

在网关服务器中配置分离解析

1.安装bind包

yum install -y bind

2.修改主配置文件

3.修改区域配置文件

4.在区域数据配置文件中配置以bsj.com.lan和bsj.com.wan结尾文件

5.关闭防火墙，关闭系统防护，开启named服务

6.在客户机中设置vim /etc/resolv.conf 文件

nameserver=dns域名服务器地址

实验过程

vim /etc/named.conf


options {
        listen-on port 53 { any; };
#       listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };

vim /etc/named.rfc1912.zones


view "lan" {                                     
        match-clients { 192.168.61.0/24; };    #内网解析到的网段
        zone "ky22.com" IN {
                type master;
                file "bsj.com.lan";           #位于/var/named/ky22.com.lan下
        };
         zone "." IN {                          #根域配置文件
                type hint;
                file "named.ca";
        };
};
 
 
view "wan" {
    match-clients { any; };                    #外网解析到的除192.168.61.0网段所有地址
    zone "ky22.com" IN {
        type master;                           
        file "bsj.com.wan";                   #位于/var/named/bsj.com.wan下
    };
};
~                                                                                      
~

cp -p /var/named/named.localhost bsj.com.lan bsj.com.wan 文件模板复制到两个文件下面

vim /var/named/bsj.com.lan

vim /var/named/bsj.com.wan

在客户端加一个服务器解析地址

vim /etc/resolv.conf


[root@localhost ~]# nslookup mail.bsj.com
Server:		192.168.61.20
Address:	192.168.61.20#53
 
Name:	mail.bsj.com
Address: 192.168.61.40

打开windows主机:设置和外网一个网段vmnet2仅主机模式