[系统运维]SNAT和DNAT原理及应用

目录

前言

一、SNAT策略

二、DNAT策略

三、实验

总结

前言

当我们访问一个服务器的时候，客户端在局域网内是私网地址，访问的服务器也在局域网内也是私网地址，前者需要转换成公网地址访问服务器才能收到服务器的反馈，后者需要将自己的私网IP地址隐藏起来不暴露在公网中，以免受到攻击成为肉机或者矿机前者使用SNAT技术，后者使用DNAT技术

一、SNAT策略

• 应用场景

局域网主机共享单个公网IP地址接入Internet

• 原理及应用

源地址转换（Source Network Address Translation），修改数据包的源地址

客户端往网关服务器发数据包，通过网关服务器不进行转发，发送至需要访问的服务器，访问后，数据包回来的时候还是私网IP，原来的源IP作为目的IP进行传送，私网IP作为目的地址在互联网中会被丢弃，所以我们需要将IP进行转换，这样就能以公网IP的身份返回

• 转换前提条件

1. 局域网各主机已正确设置IP地址、子网掩码、默认网关地址
2. Linux网关开启IP路由转发

• 临时打开

echo 1 > /proc/sys/net/ipv4/ip_forward
或
sysctl -w net.ipv4.ip_forward=1

• 永久打开

vim /etc/sysctl.conf
net.ipv4.ip_forward=1  #将此行写入配置文件
systcl -p    #读取修改后的配置

?

二、DNAT策略

• 应用场景

在Internet中发布内网服务器，保护自己的服务器不暴露在公网中，以免受到攻击

• 原理

目标地址转换（Destination Network Address Translation）

修改数据包的目的地址

• 转换条件

1. 局域网的web服务器能够访问Internet
2. 网关的外网IP地址有正确的DNS解析记录
3. Linux网关支持IP路由转换

• DNAT转换:发布内网的web服务

#把从ens33进来的要访问web服务的数据包目的地址转换为192.168.109.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.109.11
或
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.109.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.8109.11-192.168.109.20


-A PREROUTING 修改目的地址的链? ? ? ? ? ?
-i ens33 入站网卡
-d 12.0.0.254 数据包的目的地址
-p tcp --dport 80 数据包的目的端口
-j DNAT 
--to 192.168.109.11  内网服务器IP

三、实验SNAT

1.实验准备

网关服务器内网网卡192.168.109.131

网关服务器外网网卡12.0.0.254

http服务器12.0.0.12

客户端192.168.109.200

?2.网关服务器设置两个网卡

?3.修改网关服务器网卡信息

#网关服务器
[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# cp ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# vim ifcfg-ens33
#GATEWAY=192.168.109.2
#DNS1=8.8.8.8
#注释网关以及DNS

[root@localhost network-scripts]# vim ifcfg-ens36

TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens36
#UUID=9c73edf9-79f7-45e2-9fd8-dc405729095e
DEVICE=ens36
ONBOOT=yes
IPADDR=12.0.0.254
NETMASK=255.255.255.0
#改成公网的IP地址，网关和DNS删掉，UUID注释掉

[root@localhost network-scripts]# systemctl restart network
#重启网卡

4.修改http服务器网卡信息，安装http服务

?5.设置客户端

?

?此时客户机能够ping通两个网关，但是ping不通http服务器，因为网关服务器没有开启ip转发功能，开启后就可以了

[root@localhost ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward=1  #加入这一段

[root@localhost ~]# sysctl -p
#重新加载一下

?

? ?此时使用的是私网地址访问的服务器，无法回馈消息给客户机，这是模拟才能显示页面，如果是在真实生产环境中是访问不了的，所以需要将私网IP转换成公网IP进行访问

[root@localhost ~]# iptables -F 
[root@localhost ~]# iptables -F -t nat
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.109.0/24     0.0.0.0/0            to:12.0.0.254
[root@localhost ~]# 

?

?

?小知识点：一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网

四、实验DNAT

1.实验准备

网关服务器内网网卡192.168.109.131

网关服务器外网网卡12.0.0.254

http服务器192.168.109.20

客户端12.0.0.200

2.修改网卡信息

?

?

[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -F -t nat 
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254
[root@localhost ~]# iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.109.20:80

#-i ens36 入站网卡
#-d 12.0.0.254 外网数据包的地址
#-p tcp --dport 8080 指定协议和端口
#-j DNAT 
#--to 192.168.109.20:80  转换到内网服务器地址和端口

[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.254           tcp dpt:8080 to:192.168.109.20:80

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.109.0/24     0.0.0.0/0            to:12.0.0.254

[root@localhost httpd]# systemctl restart httpd
#重启httpd服务

总结

创作打卡挑战赛

赢取流量/现金/CSDN周边激励大奖