校盾計(jì)劃課程-防火墻技術(shù)

目的NAT對(duì)一流量完全DNAT121DNAT策略概述2DNAT策略的原理3參數(shù)詳解4DNAT策略的應(yīng)用目錄3DNAT策略概述DNAT策略的典型應(yīng)用環(huán)境在Internet中發(fā)布位于企業(yè)局域網(wǎng)內(nèi)的服務(wù)器DNAT策略的原理目標(biāo)地址轉(zhuǎn)換，DestinationNetworkAddressTranslation修改數(shù)據(jù)包的目標(biāo)IP地址4DNAT策略的應(yīng)用環(huán)境Interneteth1:/24

eth0:1/30網(wǎng)站服務(wù)器/24Linux網(wǎng)關(guān)服務(wù)器Internet中的客戶機(jī)

95DNAT策略的原理在網(wǎng)關(guān)中使用DNAT策略發(fā)布內(nèi)網(wǎng)服務(wù)器源地址：9

目標(biāo)地址：1HTTP請(qǐng)求Internet中的客戶機(jī)

9Linux網(wǎng)關(guān)服務(wù)器

eth0：1

eth1：局域網(wǎng)內(nèi)的Web服務(wù)器

HTTP應(yīng)答源地址：1

目標(biāo)地址：9DNAT

轉(zhuǎn)換HTTP請(qǐng)求HTTP應(yīng)答源地址：9

目標(biāo)地址：源地址：

目標(biāo)地址：96DNAT策略的應(yīng)用DNAT的應(yīng)用案例Interneteth1:/24

eth0:1/30網(wǎng)站服務(wù)器/24Linux網(wǎng)關(guān)服務(wù)器Internet中的客戶機(jī)

9DNATTarget這個(gè)target是用來做目的網(wǎng)絡(luò)地址轉(zhuǎn)換的，就是重寫包的目的IP地址。如果一個(gè)包被匹配了，那么和它屬于同一個(gè)流的所有的包都會(huì)被自動(dòng)轉(zhuǎn)換，然后就可以被路由到正確的主機(jī)或網(wǎng)絡(luò)。注意，DANTtarget只能用在nat表的PREROUTING和OUTPUT鏈中，或者是被這兩條鏈調(diào)用的鏈里。但還要注意的是，包含DANTtarget的鏈不能被除此之外的其他鏈調(diào)用，如POSTROUTING。7參數(shù)詳解匹配：--to-destination示例：iptables-tnat-APREROUTING-ptcp-d7--dport80-jDNAT--to-destination-08參數(shù)詳解說明：指定要寫入IP頭的地址，這也是包要被轉(zhuǎn)發(fā)到的地方。上面的例子就是把所有發(fā)往地址7的包都轉(zhuǎn)發(fā)到一段LAN使用的私有地址中，即到0。在這種情況下，每個(gè)流都會(huì)被隨機(jī)分配一個(gè)要轉(zhuǎn)發(fā)到的地址，但同一個(gè)流總是使用同一個(gè)地址。也可以只指定一個(gè)IP地址作為參數(shù)，這樣所有的包都被轉(zhuǎn)發(fā)到同一臺(tái)機(jī)子。還可以在地址后指定一個(gè)或一個(gè)范圍的端口。比如：--to-destination:80或--to-destination:80-100。注意，只有先用--protocol指定了TCP或UDP協(xié)議，才能使用端口。910DNAT策略的應(yīng)用前提條件局域網(wǎng)的Web服務(wù)器正確設(shè)置了IP地址/子網(wǎng)掩碼局域網(wǎng)的Web服務(wù)器正確設(shè)置了默認(rèn)網(wǎng)關(guān)地址推薦實(shí)現(xiàn)步驟添加使用DNAT策略的防火墻規(guī)則規(guī)則示例：iptables-tnat-APREROUTING-ieth0-d1-ptcp--dport80-jDNAT--to-destination訪問網(wǎng)關(guān)的公網(wǎng)IP地址的數(shù)據(jù)包內(nèi)網(wǎng)中Web服務(wù)器的實(shí)際IP地址從外網(wǎng)接口eth0進(jìn)入的數(shù)據(jù)包在路由選擇之前進(jìn)行處理訪問標(biāo)準(zhǔn)Web服務(wù)端口的數(shù)據(jù)包11DNAT策略的應(yīng)用驗(yàn)證DNAT結(jié)果在外網(wǎng)測(cè)試機(jī)（9）中，應(yīng)能夠通過瀏覽器訪問網(wǎng)關(guān)公網(wǎng)IP地址（1）的80端口查看局域網(wǎng)內(nèi)Web服務(wù)器（）的Web訪問日志，應(yīng)記錄了外網(wǎng)測(cè)試機(jī)的IP地址(9)[root@localhost~]#tail-f/var/log/httpd/access_log9--[04/Jun/2009:14:35:53]"GET/HTTP/1.1"20015"-""ELinks/0.11.1(textmode;Linux;80x25-2)"12通過DNAT策略同時(shí)修改目標(biāo)端口號(hào)使用形式只需要在“--to-destination”后的目標(biāo)IP地址后面增加“:端口號(hào)”即可，即：

-jDNAT--to-destination目標(biāo)IP:目標(biāo)端口通過DNAT策略修改目標(biāo)端口號(hào)的應(yīng)用示例從Internet中訪問網(wǎng)關(guān)主機(jī)（1）的2222端口時(shí)，實(shí)際由運(yùn)行在局域網(wǎng)主機(jī)（）的22端口的應(yīng)用程序提供服務(wù)[root@localhost~]#iptables-tnat-APREROUTING-ieth0-d1-ptcp--dport2222-jDNAT--to