第四天 IPTABLES功能深入

一、使用实例

1. 源NAT(SNAT)

比如，更改所有来自172.20.80.0/24的数据包的源ip地址为202.202.202.202:

iptables -t nat -A POSTROUTING -s 172.20.80.0/24-o eth0 -j SNAT --to 202.202.202.202

这里需要注意的是，系统在路由及过虑等处理直到数据包要被送出时才进行SNAT。

有一种SNAT的特殊情况是ip欺骗，也就是所谓的Masquerading，通常建议在使用拨号上网的时候使用，或者说在合法ip地址不固定的情况下使用。比如

# iptables -t nat -A POSTROUTING -o ppp0 -jMASQUERADE

可以看出，这时候我们没有必要显式的指定源ip地址等信息。

2. 目的SNAT(DNAT)

比如，更改所有来自172.20.80.0/24的数据包的目的ip地址为202.202.202.202:

iptables -t nat -A PREROUTING -s 172.20.80.0/24-i eth1 -j DNAT --to 202.202.202.202

这里需要注意的是，系统是先进行DNAT，然后才进行路由及过虑等操作。

有一种DNAT的特殊情况是重定向，也就是所谓的Redirection，这时候就相当于将符合条件的数据包的目的ip地址改为数据包进入系统时的网络接口的ip地址。通常是在与squid配置形成透明代理时使用，假设squid的监听端口是3128，我们可以通过以下语句来将来自172.20.80.0/24，目的端口为80的数据包重定向到squid监听

端口:

iptables -t nat -A PREROUTING -i eth1 -ptcp -s 172.20.80.0/24 --dport 80

-j REDIRECT --to-port 3128

二、综合例子

1. 使用拨号带动局域网上网

小型企业、网吧等多使用拨号网络上网，通常可能使用代理，但是考虑到成本、对协议的支持等因素，建议使用ip欺骗方式带动区域网上网。

成功升级内核后安装iptables，然后执行以下脚本:

#载入相关模块

modprobe ip_tables

modprobe ip_nat_ftp

#进行ip伪装

iptables -t nat -A POSTROUTING -o ppp0 -jMASQUERADE

2. ip映射

假设有一家ISP提供园区Internet接入服务，为了方便管理，该ISP分配给园区用户的IP地址都是伪IP，但是部分用户要求建立自己的WWW服务器对外发布信息。我们可以再防火墙的外部网卡上绑定多个合法IP地址，然后通过ip映射使发给其中某一个IP地址的包转发至内部某一用户的WWW服务器上，然后再将该内部WWW服务器响应包伪装成该合法IP发出的包。

我们假设以下情景:

该ISP分配给A单位www服务器的ip为:

伪ip:172.20.80.100

真实ip:202.202.202.203

该ISP分配给B单位www服务器的ip为:

伪ip:172.20.80.200

真实ip:202.202.202.204

linux防火墙的ip地址分别为:

内网接口eth1:172.20.80.1

外网接口eth0:202.110.123.1

然后我们将分配给A、B单位的真实ip绑定到防火墙的外网接口，以root权限执行以下命令:

ifconfig eth0 add 202.202.202.203 netmask255.255.255.0

ifconfig eth0 add 202.202.202.204 netmask255.255.255.0

成功升级内核后安装iptables，然后执行以下脚本:

#载入相关模块

modprobe ip_tables

modprobe ip_nat_ftp

首先，对防火墙接收到的目的ip为202.202.202.203和202.202.202.204的所有数据包进行目的NAT(DNAT):

iptables -A PREROUTING -i eth0 -d 202.202.202.203-j DNAT --to 172.20.80.100

iptables -A PREROUTING -i eth0 -d 202.202.202.204-j DNAT --to 172.20.80.200

其次，对防火墙接收到的源ip地址为172.20.80.100和172.20.80.200的数据包进行源NAT(SNAT):

iptables -A POSTROUTING -o eth0 -s 172.20.80.100-j SNAT --to 202.202.202.203

iptables -A POSTROUTING -o eth0 -s 172.20.80.200-j SNAT --to 202.202.202.204

这样，所有目的ip为202.202.202.203和202.202.202.204的数据包都将分别被转发给172.20.80.100和172.20.80.200;而所有来自172.20.80.100和172.20.80.200的数据包都将分别被伪装成由202.202.202.203和202.202.202.204，从而也就实现了ip映射。

------------------------------------------------------------------------------------------------

for i in  `seq 20 100`; do echo 192.168.1.$i >> ipku.txt;done

---------------------------------------------------------------------------------------------

#!/bin/bash
ipadd=`cat /root/ipku.txt`
IPT="/sbin/iptables"
for j in $ipadd ; do
        $IPT -t filter -A INPUT -s $j  -p icmp --icmp-type 8 -j DROP 
        echo "$j DROPED ok."
done

---------------------------------------------------------------------------------------------

mount /dev/cdrom /mnt
rpm -ivh /mnt/Server/bind-9.3.6-4.P1.el5.i386.rpm 
rpm -ivh /mnt/Server/caching-nameserver-9.3.6-4.P1.el5.i386.rpm
rpm -ivh /mnt/Server/bind-chroot-9.3.6-4.P1.el5.i386.rpm

#redhat5.4下DNS转发服务器的建立(需要接入互联网)
vi /etc/named.caching-nameserver.conf
options {
        listen-on port 53 { any; };
        listen-on-v6 port 53 { ::1; };
        directory       "/var/named";
        dump-file       "/var/named/data/cache_dump.db";
        statistics-file "/var/named/data/named_stats.txt";
        memstatistics-file "/var/named/data/named_mem_stats.txt";
        allow-query     { any; };
        allow-query-cache { any; };
};
logging {
        channel default_debug {
                file "data/named.run";
                severity dynamic;
        };
};
view localhost_resolver {
        match-clients      { any; };
        match-destinations { any; };
        recursion yes;
        include "/etc/named.rfc1912.zones";
};

--------------------------------------------------------------------------------------------