Linux防火墙配置SNAT教程（1）

1、实验目标

　　以实验“防火墙配置-访问外网WEB”为基础，在WEB服务器上安装Wireshark，设置Wireshark的过滤条件为捕获HTTP报文，在Wireshark中开启捕获，在内网测试机上访问WEB服务器，查看捕获结果，再在网关防火墙上设置SNAT，查看捕获结果

　　（防火墙配置-访问外网WEB：linux防火墙配置教程之访问外网web实验（3） ）

2、SNAT（source network address translation）

　　源地址转换，其作用是将ip数据包的源地址转换成另外一个地址，俗称IP地址欺骗或伪装

　　内部地址要访问公网上的服务时（如web访问），内部地址会主动发起连接，由路由器或者防火墙上的网关对内部地址做个地址转换，将内部地址的私有IP转换为公网的公有IP，网关的这个地址转换称为SNAT，主要用于内部共享IP访问外部，同时可以保护内网安全

3、实验拓扑

4、实验步骤

（1）完成“防火墙配置-访问外网WEB”实验

（2）在WEB服务器上安装Wireshark

　　1）配置本地Yum源（CentOS 6.5配置本地Yum源教程）

　　2）安装Wireshark

代码如下:

[root@lyy yum.repos.d]# yum install wireshark wireshark-gnome -y　　//gnome表示桌面版

　　3）打开Wireshark

　　安装完成之后，点击“应用程序”——“Internet”——“Wireshark”即可打开

　　

（3）设置Wireshark的过滤条件为捕获HTTP报文

点击“Capture”——“Option”——在弹出的窗口中勾选“eht0”

双击“eth0”——在弹出的窗口中点击“Capture Filter”——点击“HTTP TCP port（80）”——确定

（4）在内网测试机上访问WEB服务器

此时看到的源地址是内网测试机的地址192.168.0.10

（5）在网关防火墙上设置SNAT

代码如下:

[root@lyy 桌面]# iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth1 -j MASQUERADE

代码如下:

MASQUERADE：动态地址伪装，用发送数据的网卡上的IP来替换源IP

（6）内网测试机上访问WEB服务器，捕获结果如下：

此时，源地址已经被替换成了网关的eth1的IP地址，SNAT的目的已经达到！

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持我们。

赞 (0)

相关推荐

  • 在Linux代理服务器上设置防火墙

    一般而言,实现Linux的防火墙功能有两种策略.一种是首先全面禁止所有的输入.输出和转发数据包,然后根据用户的具体需要逐步打开各项服务功能.这种方式的特点是安全性很高,但必须全面考虑用户所需的各项服务功能,不能有任何遗漏,要求系统管理员清楚地知道实现某种服务和功能需要打开哪些服务和端口.第二种方式是首先默认打开所有的输入.输出数据包,然后禁止某些危险包.IP欺骗包.广播包.ICMP服务类型攻击等:对于应用层的服务,像http.sendmail.pop3.ftp等,可以有选择地启动或安装.这种方式

  • 阿里云linux服务器安全设置(防火墙策略等)

    首先需要进行linux的基础安全设置,可以先参考这篇文章 http://www.jb51.net/article/94842.htm 1.Linux系统脚本 #!/bin/bash ######################################### #Function: linux drop port #Usage: bash linux_drop_port.sh #Author: Customer Service Department #Company: Alibaba Clo

  • Linux防火墙iptables入门教程

    Linux防火墙iptables入门教程

    一.关于iptables Iptables是一个基于命令行的防火墙工具,它使用规则链来允许/阻止网络流量.当一条网络连接试图在你的系统中建立时,iptables会查找其对应的匹配规则.如果找不到,iptables将对其采取默认操作.几乎所有的Linux发行版都预装了iptables.在Ubuntu/Debian中更新/安装iptables的命令为: 复制代码 代码如下: sudo apt-get install iptables 现有的一些图形界面软件也可以替代iptables,如Firesta

  • 3-8 Linux系统中防火墙的框架简单分析

    Netfilter提供了一个抽象.通用化的框架,该框架定义的一个子功能的实现就是包过滤子系统.Netfilter框架包含以下五部分: 1. 为每种网络协议(IPv4.IPv6等)定义一套钩子函数(IPv4定义了5个钩子函数), 这些钩子函数在数据报流过协议栈的几个关键点被调用.在这几个点中,协议栈将把数据报及钩子函数标号作为参数调用netfilter框架. 2. 内核的任何模块可以对每种协议的一个或多个钩子进行注册,实现挂接,这样当某个数据包被传递给netfilter框架时,内核能检测是否有任何

  • 教你将Linux配置为代理防火墙

    Linux本身可以通过添加插座软件包起到代理防火墙的作用,而且,这一切都是免费的. 什么是代理防火墙 代理防火墙不让任何直接的网络流通过,而由它作为Internet和内部网络计算机之间 的中间媒介.防火墙自己处理各种网络服务而不是只让它们直接通过.例如,登录到网络上的计算机请求一个Internet网页.计算机不直接链接到Internet网络服务提供的网页,而是连到自己网络的代理服务器上,代理服务器识别代理请求,然后以合适的方式传递给相应的Internet网络服务器.远程网络服务器视为来自防火墙服

  • linux防火墙配置教程之访问外网web实验（3）

    linux防火墙配置教程之访问外网web实验（3）

    一.实验目标 1.本次实验在"Linux基础网络搭建实验"的基础上,在外网虚拟机上搭建WEB服务,并分别配置外网和网关的防火墙规则,使内网能够访问WEB服务 2.Linux基础网络搭建实验:Linux网络搭建基础实验(1) 3.实验拓扑: 二.实验步骤 1.建立如图所示的网络拓扑结构,内外网联通,网关防火墙也暂时关闭 2.外网测试主机配置 (1)配置本地Yum源(参考:CentOS 6.5配置本地Yum源教程) (2)检查系统是否安装WEB服务器,如有,则启动该服务,如没有,则安装该服

  • linux增加iptables防火墙规则的示例

    以下是我的iptables设置 复制代码 代码如下: *filter:INPUT DROP [0:0]:FORWARD ACCEPT [0:0]:OUTPUT ACCEPT [49061:9992130]-A INPUT -i lo -j ACCEPT   不开启会有很多服务无法使用,开启回环地址-A INPUT -p icmp -j ACCEPT   允许icmp包通过,也就是允许别人ping自己-A INPUT -m state --state RELATED,ESTABLISHED -j

  • linux防火墙配置教程之允许转发实验（2）

    linux防火墙配置教程之允许转发实验（2）

    一.实验目标 在上一次"Linux基础网络搭建实验"中,内.外网虚拟机之所以能Ping通,是因为暂时关闭了防火墙,然而现实中这样操作显然存在很大的安全隐患,所以本次实验在上次实验的基础下,开启防火墙,并配置防火墙规则,使得内.外网虚拟机任然能够Ping通. (Linux基础网络搭建实验:Linux网络搭建基础实验(1) ) 网络拓扑图: 二.实验步骤 1.搭建如图所示的网络(参考"Linux基础网络搭建实验") 2.在网关上开启防火墙,此时内网虚拟机不能Ping通外

  • linux下mysql链接被防火墙阻止的解决方法

    vi /etc/sysconfig/iptables 在后面添加 -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT service iptables restart 发现还是不行 最终发现记录要添加在 -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT 这一条前面 再次重启 OK

  • 关闭selinux(防火墙)方法分享

    刚好手工装完一台CentOS6.4,就顺便记录一下. 复制代码 代码如下: # sestatusSELinux status:                 enabledSELinuxfs mount:                /selinuxCurrent mode:                   enforcingMode from config file:          enforcingPolicy version:                 24Policy

随机推荐