linux iptables 实战

linux iptables 实习
1.
设置防火墙为路由模式，编辑/etc/sysctl.conf 内net.ipv4.ip_forward = 0 值改成1
2.
更新系统内核参数sysctl -p
3.
service iptables stop
iptalbes -F
iptalbes -X
iptalbes -Z
iptables-save
4.
根据需求，外网可访问服务器一下端口：80、14490、14500、14460、14470、24461，ntp（tcp 123 udp132）
服务器可访问外部端口：80、25，ntp（tcp 123 udp132）
考虑到远程管理接口，添加22端口，考虑到上网需求，放行53端口。

放行环回接口，icmp ping。

具体配置信息如下
[root@localhost sysconfig]# iptables -V
iptables v1.4.7
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp -m state --state NEW -m multiport --dports
80,14490,14500,14460,14470,24461，123，132 -j ACCEP
iptables -A INPUT -p udp -m state --state NEW -m multiport --dports
14490,14500,14460,14470,24461，123，132 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW -m tcp --sport 22 -j ACCEPT iptables -A OUTPUT -p tcp -m state --state NEW -m multiport --dports 80,25，123，132 -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW -m multiport --dports ip123，132 -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT iptables -A OUTPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT iptables -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
查看[root@localhost sysconfig]# iptables -S
5.
iptables -t nat -A POSTROUTING -o eth1（外口）-j SNAT--to 192.168.1.254 外网接口为固定IP
iptables -t nat -A POSTROUTING -o eth1（外口）-s 32.1.38.0/24 -jMASQUERADE ——用于外网接口为动态IP地址，如ppoe接入方式。

6.
iptables -t nat -A PREROUTING -d 219.239.xx.xx（外口，或者-i eth1外
口） -p tcp --dport 8080 -j DNAT --to-destination 172.18.10.205:80（真实服务器地址）
iptables -t nat -A POSTROUTING -d 172.18.10.205（服务器地
址） -p tcp --dport 80 -j SNAT --to 172.18.10.212（内网口）
7.
修改默认iptables,保障重启开机后仍然生效。

[root@kook ~]# iptables-save > /etc/sysconfig/iptables
iptables-save
service iptables save
service iptables start/restar
8.
查看iptables -nvL --line-number iptables -t nat -nvL --line-number
INPUT OUTPUT FORWARD PREROUTING POSTROUTING
-A 增加-D删除-o -i OUTPUT INPUT -I 插入（iptables -I INPUT 1/2/3 ....）
9
理解：DNAT映射SNAT转换，当映射时外网访问外口，得到映射地址为服务器地址，但是路由外口无法直接到达服务器，所以需要把包再次转换，及把目标为服务器地址的包转换为路由内口，这样由内口去访问服务器。

整个DNAT才算完成
linux上端口映射的详细步骤
在网上搜索好多，对linux配置端口映射都不够详细，我在RedHat8.0上用iptables配置了端口映射，讲述详细的配置过程，供大家参考。

【实现功能】
PC A是
eth0 172.18.10.212 内网
eth1 219.239.xx.xx 外网
PC B是 172.18.10.205 内网
A的8080端口映射到B的80端口
【步骤】
1、首先应该做的是/etc/sysctl.conf配置文件的 net.ipv4.ip_forward = 1 默认是0
这样允许iptalbes FORWARD。

2、在/etc/rc.d/init.d目录下有iptables 文件，使用格式如下
Usage: ./iptables {start|stop|restart|condrestart|status|panic|save}
相当与service iptables {....}
把iptables 服务停止，清除以前的规则，存盘
到/etc/rc.d/init.d目录下，运行
./iptables stop
iptalbes -F
iptalbes -X
iptalbes -Z
./iptables save
3、重新配置规则
iptables -t nat -A PREROUTING -d 219.239.xx.xx -p tcp --dport 8080 -j DNAT --to-destination 172.18.10.205:80
iptables -t nat -A POSTROUTING -d 172.18.10.205 -p tcp --dport 80 -j SNAT --to 1 72.18.10.212
iptables -A FORWARD -o eth0 -d 172.18.10.205 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -i eth0 -s 172.18.10.205 -p tcp --sport 80 -j ACCEPT。