局域网iptables初探技术

浏览:
字体:
发布时间:2013-12-10 00:03:25
来源:
iptables初探
 
因为某些原因,为了让自己的机器可以上网必须通过同事的一个IP 192.168.1.34
 
本机IP为192.168.1.54
 
还有一台机器IP为192.168.1.44
 
同事192.168.1.34增加了一条路由表
 
iptables -t nat -A POSTROUTING -s 192.168.1.54 -o eth0 -j SNAT --to 192.168.1.34
我的192.168.1.54 既可以将本机的网关gateway 设置成192.168.1.34 后上网了
 
于是我自己尝试把我192.168.1.44的数据包通过192.168.1.54 转发到 192.168.1.34 上上网
 
iptables -t nat -A POSTROUTING -s 192.168.1.44 -o eth0 -j SNAT --to 192.168.1.54   
在我的本机(192.168.1.54)执行上述命令,理论上可以进行上网了
 
查看 iptables 的nat 表  信息如下
 
debian:~# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
 
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  2013-1022-1630.local  anywhere            to:192.168.1.54 
 
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination 
可是将192.168.1.44的gateway 设置为192.168.1.54 就是上不去,郁闷了
 
 
于是尝试修改目的NAT
 
iptables -t nat -D POSTROUTING -s 192.168.1.44 -o eth0 -j SNAT --to 192.168.1.54 // 删除添加的源NAT
添加
 
iptables -t nat -A PREROUTING -s 192.168.1.54 -i eth0 -j DNAT --to 192.168.1.44
 
还是不行,但是比较有意思的时我的192.168.1.54上有一个HTTP服务,于是我在192.168.1.44 上的
 
HTTP请求被响应了,打入所有的网址都显示 It works.  
 
我本机的80端口 占用情况,我确实有个小lighttpd HTTP服务器,感觉有点意思。
 
debian:~# lsof -i:80
COMMAND   PID     USER   FD   TYPE  DEVICE SIZE NODE NAME
chrome   4065       zz  182u  IPv4 1172731       TCP debian:33229->117.79.157.251:www (ESTABLISHED)
chrome   4065       zz  260u  IPv4 1172394       TCP debian:54820->117.79.157.201:www (ESTABLISHED)
lighttpd 7536 www-data    4u  IPv6  905182       TCP *:www (LISTEN)
 
 
偶然间在网上发现需要开启
 
/proc/sys/net/ipv4/ip_forward
执行
 
echo 1 > /proc/sys/net/ipv4/ip_forward
删除上述的转发
iptables -t nat -D PREROUTING -s 192.168.1.54 -i eth0 -j DNAT --to 192.168.1.44
 
重新添加
 
iptables -t nat -A POSTROUTING -s 192.168.1.44 -o eth0 -j SNAT --to 192.168.1.54   
192.168.1.44 可以通过 192.168.1.54 然后通过192.168.1.34 流畅的上网了。
 
下面时一些网上摘抄的
nat表需要的三个链:
  1.PREROUTING:可以在这里定义进行目的NAT的规则,因为路由器进行路由时只检查数据包的目的ip地址,所以为了使数据包得以正确路由,我们必须在路由之前就进行目的NAT;
  2.POSTROUTING:可以在这里定义进行源NAT的规则,系统在决定了数据包的路由以后在执行该链中的规则。
  3.OUTPUT:定义对本地产生的数据包的目的NAT规则。
 
需要用到的几个动作选项:(真是环境中用大写)
 
 redirect 将数据包重定向到另一台主机的某个端口,通常用实现透明代理和对外开放内网某些服务。
 snat 源地址转换,改变数据包的源地址
 dnat 目的地址转换,改变数据包的目的地址 
 masquerade  IP伪装,只适用于ADSL等动态拨号上网的IP伪装,如果主机IP是静态分配的,就用snat
 
 PRERROUTING:DNAT 、REDIRECT   (路由之前)只支持-i,不支持-o。在作出路由之前,对目的地址进行修改
 POSTROUTING:SNAT、MASQUERADE  (路由之后)只支持-o,不支持-i。在作出路由之后,对源地址进行修改
 OUTPUT:DNAT 、REDIRECT   (本机)DNAT和REDIRECT规则用来处理来自NAT主机本身生成的出站数据包.
 
 
nat不同动作的配置
  1)MASQUERADE:是动态分配ip时用的IP伪装:在nat表的POSTROUTING链加入一条规则:所有从ppp0口送出的包会被伪装(MASQUERADE)
 
 iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
 
    要想系统启动时自动实现nat,在/etc/rc.d/rc.local文件的末尾添加
    #echo "1">/proc/sys/net/ipv4/ip_forward
    #/sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
  2) SNAT:一般正常共享上网都用的这个。
  所有从eth0(外网卡)出来的数据包的源地址改成61.99.28.1(这里指定了一个网段,一般可以不指定)
 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 61.99.28.1
 
  3)DNAT:目的nat 做智能DNS时会用到
  智能DNS:就是客户端在dns项里无论输入任何ip,都会给他定向到服务器指定的一个dnsip上去。
  在路由之前所有从eth0(内网卡)进入的目的端口为53的数据包,都发送到1.2.3.4这台服务器解析。
 
 iptables -t nat -I PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination 1.2.3.4:53
 iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 1.2.3.4:53
 
 
  4)REDIRECT:重定向,这个在squid透明代理时肯定要用到它
  所有从eth1进入的请求80和82端口的数据,被转发到80端口,由squid处理。
 iptables -t nat -A PREROUTING - -i eth1 -p tcp -m multiport --dports 80,82 -j REDIRECT --to-ports 80
 
>更多相关文章
24小时热门资讯
24小时回复排行
资讯 | QQ | 安全 | 编程 | 数据库 | 系统 | 网络 | 考试 | 站长 | 关于东联 | 安全雇佣 | 搞笑视频大全 | 微信学院 | 视频课程 |
关于我们 | 联系我们 | 广告服务 | 免责申明 | 作品发布 | 网站地图 | 官方微博 | 技术培训
Copyright © 2007 - 2024 Vm888.Com. All Rights Reserved
粤公网安备 44060402001498号 粤ICP备19097316号 请遵循相关法律法规
');})();