网络防火墙

iptables/netfilter网络防火墙：

(1) 充当网关

(2) 使用filter表的FORWARD链

注意的问题：

(1) 请求-响应报文均会经由FORWARD链，要注意规则的方向性

(2) 如果要启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行

实验：禁止互联网上的主机访问内网主机

实验环境：3台机器

假设：172.17.252.162 互联网上的主机（只有桥接，断掉仅主机）

两个网卡192.168.10.200和172.17.253.132 防火墙主机

192.168.10.187 内部网络主机（只有仅主机，断掉桥接）

实验目的：允许内网主机访问互联网上主机，不允许互联网上主机访问内网主机

（1）添加网关，让172.17.252.0/16网段的主机和192.168.10.0/24网段的主机能够互相ping通

1.在172.17.252.162主机上

route add default gw 172.17.253.132

2.在192.168.10.187主机上

route add default gw 192.168.10.200

3.在防火墙上主机上开启转发功能

vim /etc/sysctl.conf

sysctl -p 使添加的内核参数生效

4.查看连个网段的主机能否互相ping通

 

（2）在防火墙主机上添加策略，使内网的主机能访问互联网上的主机，而互联网上的主机不能访问内网的主机

iptables -A FORWARD -s 192.168.10.0/24 -d 172.17.252.0/16 -m state --state NEW -j ACCEPT 在FORWARD链上允许源地址为192.168.10.0/24网段目标地址为172.17.252.0/16网段

iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT

iptables -A FORWARD -j REJECT 拒绝其他转发

（3）测试

在互联网主机*问内部网络主机 不能ping通

在内网主机上ping互联网主机 能ping通

 

实验：NAT: network address translation 网络地址转换

1.SNAT 源网络地址转换

上一个实验可以实现内网主机访问互联网主机，不允许互联网主机访问内网主机，但是有一个巨大的问题，就是内网主机地址必须是公有地址，成本太高，还不安全

实验环境：

假设：192.168.6.52 互联网上的主机 ，只有一块网卡，桥接（公网ip）

192.168.66.128（仅主机）和192.168.6.143（桥接，公网ip） 防火墙主机，两块网卡，一块桥接，一块仅主机

192.168.66.177 内网的主机 ，一块网卡，仅主机（内网ip）

实验目的：现在要通过防火墙做源地址转换，将192.168.66.177转换为192.168.6.143，从而实现访问互联网上的主机

（1）在内网主机（192.168.66.177）上，将网关指向192.168.66.128

route add default gw 192.168.66.177

（2）在防火墙主机上做源地址转换,将内网的整个网段都替换成公网地址

iptables -t nat -A POSTROUTING -s 192.168.66.0/24 -j SNAT --to-source 192.168.6.143

（3）测试

在192.168.6.52互联网上的主机上开一个web服务，然后用内网的主机192.168.66.177去访问，如果能访问到，说明实验成功

1.在192.168.6.52主机上

systemctl start httpd 开启httpd服务

2.在192.168.66.177主机上用curl命令去访问

用ping也能通

（4）在互联网上的主机看看是谁访问的

都是192.168.6.143访问的，说明试验成功

 

2.DNAT目标网络地址转换

假如说公司内部有一个人出差了，在互联网上想访问公司内部一个服务器，这要怎么做呢？如图：

当互联网上的主机访问192.168.6.143的80端口时，就给他转到192.168.66.177的80端口

实验环境：

假设：192.168.6.52 互联网上的主机，一块网卡，桥接

192.168.6.143和192.168.66.128 防火墙主机，两块网卡，一块桥接，一块仅主机

192.168.66.177 内网的主机 ，一块网卡，仅主机

实验目的:实现互联网上的主机能够访问内网主机开启的httpd服务

（1）在内网主机（192.168.66.177）上，将网关指向192.168.66.128

route add default gw 192.168.66.177

（2）在防火墙主机上做目标地址转换，将目标地址192.168.6.143转换为192.168.66.177

iptables -t nat -A PREROUTING -d 192.168.6.143 -p tcp --dport 80 -j DNAT --to-destination 192.168.66.177:80

（3）在内网主机（192.168.66.177）开启httpd服务

systemctl start httpd

echo hello world > /var/www/html/index.html

（4）测试

在互联网上的主机上用curl命令访问192.168.10.143

（5）我们在内网主机上看日志，确实是互联网上的主机访问的

 

3.转发

实现其他人访问我本机的一个端口（如：80），给他转发到本机的另一个端口（如：8080）上

我们基于上一个实验来做本实验

（1）将内网主机上httpd服务端口改成8080

vim /etc/httpd/conf/httpd.conf

Listen 8080

重启服务 systemctl restart httpd

ss -ntl 查看端口

现在只有8080端口，没有80端口

（2）在内网主机（192.168.66.177）上设置转发策略，如果访问本机的80端口就给转发到本机的8080端口

iptables -t nat -A PREROUTING -d 192.168.66.177 -p tcp --dport 80 -j REDIRECT --to-ports 8080

（3）测试

在互联网主机（192.168.6.52）上用curl来访问防火墙主机192.168.6.143

curl 192.168.6.143