iptables 防火墙(二)

1.1 SNAT策略概述

通过在网关中应用 SNAT 策略，可以解决局域网共享上网的问题。下面以一个小型的企业网络为例。 Linux 网关服务器通过两块网卡 ens33 、 ens37 分别连接 Internet 和局域网，如图 3.1 所示，分析局域网主机访问 Internet 的情况。

1. 2.1 共享固定IP上网

[root@node1 ~]# cat /etc/sysctl.conf 
...... ## 省略
net.ipv4.ip_forward = 1
[root@node1 ~]# sysctl -p
net.ipv4.ip_forward = 1
[root@node1 ~]# 

[root@node1 ~]# echo 1 > /proc/sys/net/ipv4/ip_forward

[root@node1 ~]# sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1
[root@node1 ~]# 

[root@node1 ~]# iptables -t nat -A POSTROUTING -s 192.168.136.131/24 -o ens33 -j SNAT --to-source 218.39.30.31
[root@node1 ~]# 

1.2.2 共享动态IP 地址上网

参照上一个 SNAT 案例，若要使用 MASQUERADE 伪装策略，只需去掉 SNAT 策略中的 “--to-source IP 地址 ” ，然后改用 “-j MASQUERADE” 指定数据包控制类型。对于 ADSL 宽带连接，连接名称通常为 ppp0 、 ppp1 等。

[root@node1 ~]# iptables -t nat -A POSTROUTING -s 192.168.136.131/24 -o ppp0 -j MASQUERADE
[root@node1 ~]# 

当然，如果网关使用固定的公网 IP 地址，最好选择 SNAT 策略而不是 MASQUERADE策略，以减少不必要的系统开销。

---

2. DNAT策略及应用

DNAT（Destination Network Address Translation，目标地址转换）是 Linux 防火墙的另一种地址转换操作，同样也是 iptables 命令中的一种数据包控制类型，其作用是根据指定条件修改数据包的目标 IP 地址和目标端口。

---

2.1 DNAT 策略概述

DNAT 策略与 SNAT 非常相似，只不过应用方向相反。 SNAT 用来修改源 IP 地址，而DNAT 用来修改目标 IP 地址和目标端口； SNAT 只能用在 nat 表的 POSTROUTING 链，而DNAT 只能用在 nat 表的 PREROUTING 链和 OUTPUT 链（或被其调用的链）中。

下面仍以上一节的小型企业网络为例，考虑到应用的安全和稳定性，公司将对外的网站服务器架设在一个内部网络中，如图 3.4 所示，公司对外只有一个公网 IP 地址，又需要使Internet 中的客户机能够访问公司的网站。

[root@node1 ~]# iptables -t nat -A PREROUTING -i ens33 -d 218.29.30.31 -p tcp --dport 80 -j DNAT --to-destination 192.168.201.131
[root@node1 ~]# 

（3）测试DNAT发布结果

（1）配置OpenSSH服务

[root@node1 ~]# iptables -t nat -A PREROUTING -i ens33 -d 218.29.30.31 -p tcp --dport 2346 -j DNAT --to-destination 192.168.201.131:22
[root@node1 ~]# 

（4）测试DNAT发布结果

3.1 规则的备份及还原

3.1.1 iptables-save 命令

[root@node1 ~]# iptables-save
# Generated by iptables-save v1.4.21 on Fri Dec 29 10:06:31 2023
*mangle
:PREROUTING ACCEPT [1161:92458]
:INPUT ACCEPT [1161:92458]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [723:64195]
:POSTROUTING ACCEPT [756:69795]
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Fri Dec 29 10:06:31 2023
# Generated by iptables-save v1.4.21 on Fri Dec 29 10:06:31 2023
*nat
:PREROUTING ACCEPT [3:687]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [14:1064]
:POSTROUTING ACCEPT [14:1064]
-A PREROUTING -d 218.29.30.31/32 -i ens33 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.201.131
-A PREROUTING -d 218.29.30.31/32 -i ens33 -p tcp -m tcp --dport 2346 -j DNAT --to-destination 192.168.201.131:22
-A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
......

[root@node1 ~]# iptables-save > /opt/iprules_all.txt   ###备份所有表的规则

[root@node1 ~]# iptables-restore < /opt/iprules_all.txt   ###从备份文件恢复规则

3.2 使用iptables服务

[root@node1 ~]# iptables-save > /etc/sysconfig/iptables
[root@node1 ~]# systemctl enable iptables
[root@node1 ~]# systemctl list-unit-files | grep iptables
iptables.service                              enabled 
[root@node1 ~]# 

[root@node1 ~]# systemctl start iptables  ## 启动防火墙服务
[root@node1 ~]# service iptables start
Redirecting to /bin/systemctl start iptables.service
## 也支持service iptables start 方式启动，实际上还是跳转到了systemctl 方式

[root@node1 ~]# systemctl stop iptables.service 
[root@node1 ~]# systemctl status iptables.service 
● iptables.service - IPv4 firewall with iptables
   Loaded: loaded (/usr/lib/systemd/system/iptables.service; enabled; vendor preset: disabled)
   Active: inactive (dead) since 五 2023-12-29 10:15:39 CST; 6s ago
  Process: 2575 ExecStop=/usr/libexec/iptables/iptables.init stop (code=exited, status=0/SUCCESS)
 Main PID: 631 (code=exited, status=0/SUCCESS)

12月 29 09:40:52 node1 systemd[1]: Starting IPv4 firewall with iptables...
12月 29 09:40:52 node1 iptables.init[631]: iptables: Applying firewall rules: [  确定  ]
12月 29 09:40:52 node1 systemd[1]: Started IPv4 firewall with iptables.
12月 29 10:15:39 node1 systemd[1]: Stopping IPv4 firewall with iptables...
12月 29 10:15:39 node1 iptables.init[2575]: iptables: Setting chains to policy ACCEPT: mangle nat filter [  确定  ]
12月 29 10:15:39 node1 iptables.init[2575]: iptables: Flushing firewall rules: [  确定  ]
12月 29 10:15:39 node1 systemd[1]: Stopped IPv4 firewall with iptables.
[root@node1 ~]# 

[root@node1 ~]# vim /opt/myipfw.sh  //创建脚本文件
#!/bin/bash                          
INET_IF= "ens33"                    //外网接口
INET_IP= "218.29.30.31"             //外网接口地址    
LAN_IF= "ens37"                     //内网接口   
LAN_IP= "192.168.1.1"               //内网接口地址
LAN_NET= "192.168.1.0/24"           //内网网段
LAN_WWW_IP= "192.168.1.6"           //网站服务器的内部地址
IPT= "/sbin/iptables"               //iptables 命令的路径
MOD= "/sbin/modprobe"               //modprobe 命令的路径
CTL= "/sbin/sysctl"                 //sysctl 命令的路径

$MOD ip_tables   //iptables 基本模块
$MOD ip_conntrack   //连接跟踪模块
$MOD ipt_REJECT   //拒绝操作模块
$MOD ipt_LOG   //日志记录模块
$MOD ipt_iprange   //支持 IP 范围匹配
$MOD xt_tcpudp   //支持 TCP、UDP 协议
$MOD xt_state   //支持状态匹配
$MOD xt_multiport   //支持多端口匹配
$MOD xt_mac   //支持 MAC 地址匹配
$MOD ip_nat_ftp   //支持 FTP 地址转换
$MOD ip_conntrack_ftp   //支持 FTP 连接跟踪

$CTL -w net.ipv4.ip_forward=1   //打开路由转发功能
$CTL -w net.ipv4.ip_default_ttl=128   //修改 ICMP 响应超时
$CTL -w net.ipv4.icmp_echo_ignore_all=1   //拒绝响应 ICMP 请求
$CTL -w net.ipv4.icmp_echo_ignore_broadcasts   //拒绝响应 ICMP 广播
$CTL -w net.ipv4.tcp_syncookies=1   //启用 SYN Cookie 机制
$CTL -w net.ipv4.tcp_syn_retries=3   //最大 SYN 请求重试次数
$CTL -w net.ipv4.tcp_synack_retries=3   //最大 ACK 确认重试次数
$CTL -w net.ipv4.tcp_fin_timeout=60   //TCP 连接等待超时
$CTL -w net.ipv4.tcp_max_syn_backlog=3200   //SYN 请求的队列长度

$IPT -t filter –X   //删除各表中自定义的链
$IPT -t nat -X
$IPT -t mangle -X
$IPT -t raw -X
$IPT -t filter –F   //清空各表中已有的规则
$IPT -t nat -F
$IPT -t mangle -F
$IPT -t raw -F