snat、dnat和firewalld

目录

概述

SNAT源地址转换

DANT目的地址转换

抓包

firewalld

端口管理

---

概述

snat ：源地址转换

内网——外网 内网ip转换成可以访问外网的ip

也就是内网的多个主机可以只有一个有效的公网ip地址访问外部网络

DNAT：目的地址转发

外部用户，可以通过一个公网地址访问服务内部的私网服务

也就是私网的IP和公网IP做一个映射

SNAT源地址转换

步骤：

1.修改路由器ens33的IP地址，改成内网网关

2.修改路由器ens36的IP地址，改成外网网关

3.修改外网的IP地址和网关

4.修改内网的网关

5.配置路由器的内核参数文件

6.设置nat表的规则

-t nat 指定表为nat表

-A POSTROUING 离开本机   -A添加

-s 指定源IP

-o 指定输出网络设备

-j 控制类型 

--to 指定整个网段192.168.233.0/24 从ens36出去时，做源地址转换，转换成10.0.0.10

7.重启网卡 systemctl restart network

8.查看外网的日志

DANT目的地址转换

1.路由器设置规则

-d 11.0.0.11  指定做为目的地址转换的IP地址

-i 从指定的设备进入本机

-p指定协议

-j DNAT  使用目的地址转换

--to 192.168.233.10 

外网想要访问内网的192.168.233.10:80的这个web服务，只需要访问11.0.0.11就可以访问内网的web服务

iptables -t nat -A PREROUTING -d 10.0.0.10 -i ens36 -p tcp --dport 80 -j DNAT --to 20.0.0.10:80

抓包

在Linux当中如何抓包

tcpdump就是Linux自带的抓包工具（最小化安装时不带的，需要额外安装）

静态

tcpdump tcp -i ens33 -t -s0 -c 10 and dst port 80 and src net 192.168.233.0/24 -w /opt/target.cap

tcp 指定抓包的协议  udp icmp 第一个参数，可以不指定协议

-i  只抓经过指定设备的包

-t  不显示时间戳

-s0  抓完整的数据包

-c 10   指定抓包的目的端口

dst port  指定抓包的目的端口

src net 192.168.233.0/24  指定抓包的IP地址

net  网段

host 主机（IP地址）

-w 保存指定路径

tcpdump tcp -i ens33 -t -s0 -c 10 and dst port 80 and src net 20.0.0.0/24 -w /opt/target.cap

动态 

tcpdump -i ens33  -s0 -w /opt/ens33.cap

如果要用wireshark对数据包进行分析，tcpdump在抓包时，要使用-s0抓取完整格式，否则wireshark无法分析

tcpdump -i ens33 

firewalld

ubantu的不同  ufw  ubantu firewalld开启防火墙  ufw ubantu firewalld 关闭防火墙

它是按照区域来划分的

firewall-config

public：公共区域，默认配置了ssh以及DHCPv6预定服务是放通的，其他全部都是拒绝，默认区域

trusted：信任区域，允许所有的数据包放通

block：限制区域，拒绝所有

drop：丢弃区域，丢弃所有数据包

dmz：非军事区域，默认只运行ssh通过

home：家庭区域。默认只允许ssh通过

internal：内部区域，和home一模一样

external：外部区域，也是默认允许ssh通过，其他全部拒绝

work：工作区域，默认允许ssh通过

firewall-cmd 命令行工具

firewall-cmd --get-default-zone  查看当前系统的默认区域

firewall-cmd --list-all 查看当前区域设定的规则

firewall-cmd --set-default-zone=block  切换区域

firewall-cmd --list-services  查看区域内允许访问的服务

dhcpv6-client 获取ipv6的地址

interfaces: ens33 该区域默认使用的网卡设备

firewall-cmd --zone=pulic --change-interface=ens36 修改区域使用的网卡设备

firewall-cmd --add-service=http --zone=pulic  添加服务

firewall-cmd --add-servicr={ftp,nfs,http} --zone=pulic --permanent 添加多个服务并且永久生效

firewall-cmd --remove-servicr={ftp,nfs,http} --zone=pulic --permanent 删除多个服务

firewall-cmd --reload 重启

查看当前系统的默认区域

firewall-cmd --get-default-zone

查看当前区域设置的规则

firewall-cmd --list-all

切换当前系统的默认区域

firewall-cmd --set-default-zone=block
firewall-cmd --set-default-zone=drop

查看区域内允许访问的服务

firewall-cmd --list-service
firewall-cmd --list-services
#两个都行，效果一样

修改区域默认使用的网络设备

firewall-cmd --zone=public --change-interface=ens36
firewall-cmd --zone=home --remove-interface=ens36

添加服务到默认域中

firewall-cmd --add-service=http --zone=public

多个服务，永久添加

firewall-cmd --add-service={ftp,nfs,http} --zone=public --permanent
#--permanent 永久添加

删除服务

firewall-cmd --remove-service=http --zone=public

重新加载

firewall-cmd --reload

端口管理

firewall-cmd --zone=pulic --add-port=80/tcp 添加端口

firewall-cmd --zone=pulic --add-port=80/tcp  --permanent 永久生效 

fierwall-cmd --add-source=192.168.233.20  添加源地址 

添加端口到默认域中

firewall-cmd --zone=public --add-port=80/tcp

添加端口并指定协议，端口在前协议在后，用 / 分割

firewall-cmd --zone=public --add-port={80,21,3306,22}/tcp

删除端口

firewall-cmd --zone=public --remove-port=80/tcp

添加源IP

firewall-cmd --zone=block --add-source=192.168.233.20
firewall-cmd --get-active-zone