个人网站建设需要备案吗,html5 网站logo,营销软件知名乐云seo品牌,seo自己做网站吗目录 一、关于iptables规则的保存
1.1持久保存规则
1.2加载规则
1.3开机自动加载规则
1.4使用iptables-service软件来进行规则的保存和加载#xff08;不建议使用#xff09;
二、SNAT和DNAT的原理和应用
SNAT的原理与应用#xff1a;
DNAT的原理和应用#xff1a; …目录 一、关于iptables规则的保存
1.1持久保存规则
1.2加载规则
1.3开机自动加载规则
1.4使用iptables-service软件来进行规则的保存和加载不建议使用
二、SNAT和DNAT的原理和应用
SNAT的原理与应用
DNAT的原理和应用
实操步骤网关服务器
第一步先设置网关服务器的ip地址两张网卡ens33设置为内网ens36设置为外网
第二步开启路由转发功能
第三步设置iptables的转换规则
实操步骤内网服务器
第一步修改内网服务器的网关ip地址为网关服务器的ip地址
第二步开启本机httpd服务并写上一个测试网页index.html内容为test
实操步骤外网服务器
第一步先修改外网服务器的ip地址和网关都应该是12段的ip地址是12.0.0.100网关地址是12.0.0.1
第二步开启httpd服务。
验证结果
SNAT的结果验证
DNAT的结果验证
三、自定义链
3.1添加自定义链
3.2设置自定义链的策略并将其生效
3.3删除自定义链 一、关于iptables规则的保存
昨天写了iptables的设置但是都是临时生效的一旦电脑重启那么就会失效如何永久保存需要借助iptables-save命令开机生效需要借助iptables-restore命令并写入规定的配置文件中。
1.1持久保存规则
##单独使用iptables-save命令可以进行查询
[rootWG opt]#iptables-save##将其所有的规则放置到一个自定义文件中
[rootWG opt]#iptables-save /opt/iptables_rules##使用iptables命令定义的规则手动删除之前其生效期限为kernel存活期限 1.2加载规则
##清空filter表
[rootWG opt]#iptables -F
##清空nat表
[rootWG opt]#iptables -F -t nat
##重新加载保存的规则
[rootWG opt]#iptables-restore /opt/iptables_rules 1.3开机自动加载规则
第一种个性化设置放到用户家目录下的配置文件~/.bashrc
第二种放到全局配置文件中/etc/profile中对所有用户生效
第三种放到开机自启的最后一项加载系统服务的配置文件中可以让系统重启即可生效 综上所述建议放在系统自带的配置/etc/rc.d/rc.local中
[rootWG rc.d]#vim rc.local iptables-restore /opt/iptables_rules##千万不要忘记加上执行权限非常重要
[rootlocalhost ~]#chmod x /etc/rc.d/rc.local
[rootlocalhost ~]#ll /etc/rc.d/rc.local
-rwxr-xr-x 1 root root 512 11月 30 14:27 /etc/rc.d/rc.local 为了防止该文件被删除可以使用chattr i 给文件加上不可删除权限 1.4使用iptables-service软件来进行规则的保存和加载不建议使用
##需要安装iptables-services软件
[rootcentos7 ~]#yum -y install iptables-services##备份配置文件
[rootcentos7 ~]#cp /etc/sysconfig/iptables{,.bak}#第一种保存现在的规则到文件中方法1
[rootcentos7 ~]#/usr/libexec/iptables/iptables.init save
#第二种保存现在的规则到文件中方法2
[rootcentos7 ~]#iptables-save /etc/sysconfig/iptables#开机启动
[rootcentos7 ~]#systemctl enable iptables.service
[rootcentos7 ~]#systemctl mask firewalld.service nftables.service 二、SNAT和DNAT的原理和应用 SNAT的原理与应用
SNAT 应用环境:局域网主机共享单个公网IP地址接入Internet (私有IP不能在Internet中正常路由) SNAT原理:源地址转换根据指定条件修改数据包的源IP地址通常被叫做源映谢
SNAT转换前提条件:
1.局域网各主机已正确设置IP地址、子网掩码、默认网关地址
2.Linux网关开启IP路由转发 linxu系统本身是没有转发功能 只有路由发送数据
DNAT的原理和应用
DNAT应用环境:在Internet中发布位于局域网内的服务器 DNAT原理:目的地址转换根据指定条件修改数据包的目的IP地址保证了内网服务器的安全通常被叫做目的映谢。
DNAT转换前提条件:
1.局域网的服务器能够访问Internet
2.网关的外网地址有正确的DNS解析记录
3. Linux网关开启IP路由转发
实操步骤网关服务器
第一步先设置网关服务器的ip地址两张网卡ens33设置为内网ens36设置为外网
[rootlocalhost ~]#cd /etc/sysconfig/network-scripts/
[rootlocalhost network-scripts]#cp ifcfg-ens33 ifcfg-ens36
[rootlocalhost network-scripts]#vim ifcfg-ens33
TYPEEthernet
DEVICEens33
ONBOOTyes
BOOTPROTOstatic
IPADDR192.168.20.8
NETMASK255.255.255.0[rootlocalhost network-scripts]#vim ifcfg-ens36
TYPEEthernet
DEVICEens36
ONBOOTyes
BOOTPROTOstatic
IPADDR12.0.0.1
NETMASK255.255.255.0
[rootlocalhost network-scripts]#systemctl restart network
[rootlocalhost network-scripts]#ip a 第二步开启路由转发功能
##查询内核参数
sysctl -a |grep ip_forward##添加永久开启路由转发功能
vim /etc/sysctl.conf
net.ipv4.ip_forward 1 ##注意空格##生效
sysctl -p也可以在这查看/proc/sys/net/ipv4/ip_forward
/proc文件夹中就是内存的一些信息 第三步设置iptables的转换规则
##表示当内网192.168.20.0网段的主机访问外网的时候网关服务器会通过SNAT转换源ip地址为网关服务器的公网ip12.0.0.1
[rootWG opt]#iptables -t nat -A POSTROUTING -s 192.168.20.0/24 -j SNAT --to 12.0.0.1##表示当外网服务器访问网关服务器的公网ip的80端口时会通过DNAT技术跳转至内网的192.168.20.10的80端口
[rootWG opt]#iptables -t nat -A PREROUTING -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.20.10
##这就是端口映射NAT-SERVER保护了内网服务器不会受到攻击因为外网只能接触到网关服务器ip 1、需要注意这里是网卡比较少所以没有指定流量流入和流出的网卡 建议加上 iptables -t nat -A POSTROUTING -o ens36 -s 192.168.20.0/24 -j SNAT --to 12.0.0.1 iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.20.10 2、设置完成以后建议可以查看验证一下iptables -vnL -t nat 实操步骤内网服务器
第一步修改内网服务器的网关ip地址为网关服务器的ip地址
[rootlan ~]#vim /etc/sysconfig/network-scripts/ifcfg-ens33
[rootlan ~]#systemctl restart network
[rootlan ~]#route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.20.8 0.0.0.0 UG 100 0 0 ens33
192.168.20.0 0.0.0.0 255.255.255.0 U 100 0 0 ens33
192.168.122.0 0.0.0.0 255.255.255.0 U 0 0 0 virbr0##需要将其网关的ip修改为网关服务器的内网ip地址 第二步开启本机httpd服务并写上一个测试网页index.html内容为test
[rootlan ~]#systemctl start httpd
[rootlan ~]#echo test /var/www/html/index.html实操步骤外网服务器
第一步先修改外网服务器的ip地址和网关都应该是12段的ip地址是12.0.0.100网关地址是12.0.0.1
[rootwan ~]#cat /etc/sysconfig/network-scripts/ifcfg-ens33
TYPEEthernet
BOOTPROTOstatic
NAMEens33
DEVICEens33
ONBOOTyes
IPADDR12.0.0.100
NETMASK255.255.255.0
GATEWAY12.0.0.1[rootwan ~]#systemctl restart network
[rootwan ~]#route -n 第二步开启httpd服务。
[rootwan ~]#echo hhhhhh /var/www/html/index.html
[rootwan ~]#systemctl start httpd 验证结果
SNAT的结果验证
#内网主机
[rootlan ~]#curl 12.0.0.100##外网主机
[rootwan ~]#tail -f /var/log/httpd/access_log DNAT的结果验证 ##内网服务器的日志
[rootlan ~]#tail -f /var/log/httpd/access_log ##外网主机访问网关服务器的公网ip地址
[rootwan ~]#curl 12.0.0.1
test 拓展 当外网主机访问网关服务器的公网ip主机的80端口时候将其映射为内网主机192.168.20.10的8080端口 第一步在原有基础上删除DNAT的设置重新写入策略将其映射到内网主机的8080端口
[rootlocalhost ~]#iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.20.10:8080第二步找到内网的httpd服务的配置文件进行修改为监听8080端口重新启动httpd服务
[rootlan ~]#vim /etc/httpd/conf/httpd.conf
42 Listen 8080 ##修改为监听8080度那口
[rootlan ~]#systemctl restart httpd 验证结果 三、自定义链
3.1添加自定义链
[rootlocalhost ~]#iptables -t filter -N WEB
##指定是在filter下面去天剑WEB链不写默认是filter 3.2设置自定义链的策略并将其生效
第一步先设置了WEB的两条策略拒绝目标端口为8080允许目标端口为80
第二步将其策略调用在filter的INPUT链中作用到源ip为192.168.20.10的主机上
第三步测试主机可以访问80端口
第四步修改端口为8080重启httpd服务后测试另一台主机访问不可以访问8080端口 [rootlocalhost ~]#iptables -I WEB -p tcp --dport 80 -j ACCEPT
[rootlocalhost ~]#iptables -A WEB -p tcp --dport 8080 -j REJECT
[rootlocalhost ~]#iptables -A INPUT -s 192.168.20.10 -j WEB
[rootlocalhost ~]#iptables -vnL##修改httpd的端口以后重启服务
[rootlocalhost ~]#sed -i.bak s/Listen 80/Listen 8080/ /etc/httpd/conf/httpd.conf
[rootlocalhost ~]#systemctl restart httpd##这是192.168.20.10主机
[rootlan ~]#curl 192.168.20.18:80
生效
[rootlan ~]#curl 192.168.20.18:8080
curl: (7) Failed connect to 192.168.20.18:8080; 拒绝连接
3.3删除自定义链
##删除INPUT调用的自定义链WEB的策略
[rootlocalhost ~]#iptables -D INPUT 1##清空自定义链的内容
[rootlocalhost ~]#iptables -F WEB ##删除对应的自定义链
[rootlocalhost ~]#iptables -X WEB
[rootlocalhost ~]#iptables -vnL
