一、iptables nat表應用 需求1： 兩臺機器，機器A可以訪問內網和外網(兩塊網絡卡)，機器B只能訪問內網（一塊網絡卡），讓機器B通過機器A實現訪問外網的功能 1. 先將兩個虛擬機器A和B各新增一個張網絡卡，     A機器的一張網絡卡可以訪問外網，第二張新增的網絡卡設定LAN區域，     B機器新增網絡卡，第一張網絡卡禁掉，第二張新增網絡卡設定LAN區段和A的保持一致 2. 設定網絡卡完成後可以選擇開機， 3. 設定A機器新新增網絡卡IP，新新增的網絡卡名字為ens37， ifconfig ens37 192.168.150.1/24     #設定ens37網絡卡的IP地址 4.設定B機器的第1張網絡卡Down掉，第二張新網絡卡新增一個IP，執行如下的命令 ifdown ens33      #關閉ens33網絡卡 ifconfig ens37 192.168.150.2/24     #設定ens37網絡卡的IP地址 通過ifconfig命令設定的IP只在記憶體中生效，如果要永久儲存的話需要寫到網絡卡的配置檔案裡面去 5. 可以嘗試A和B機器是否可以相互ping通 目前A機器有2塊網絡卡分別為：ens33(192.168.177.130) 、ens37(192.168.150.1)。ens33可以與外網通訊，ens37則是內部網路       B機器有1塊網絡卡ens37（192.168.150.2），不可以與外網通訊，但是可以和A機器的ens37互聯。       需要讓B機器能夠訪問外網。 1.在A機器上執行以下命令，檢視配置檔案，是否開啟埠轉發功能，顯示0表示沒有開啟埠轉發 [[email protected] ~]# cat /proc/sys/net/ipv4/ip_forward 0                                        2.開啟A機器的埠轉發功能，執行以下命令開啟 [[email protected] ~]# echo "1">/proc/sys/net/ipv4/ip_forward        #將1重定向到檔案中，開啟核心轉發 [[email protected] ~]# cat /proc/sys/net/ipv4/ip_forward             #可以cat以下檔案，檢視是否開啟 1 3.在A機器上新增規則，執行以下命令 [[email protected] ~]# iptables -t nat -A POSTROUTING -s 192.168.150.0/24 -o ens33 -j MASQUERADE 4. 在B機器上設定閘道器，執行如下命令 route add default gw 192.168.150.1              #B機器上新增閘道器 5. 在B機器上新增閘道器，實現訪問外網的功能 vi /etc/resolv.conf   #編輯配置檔案 新增如下行： nameserver 8.8.8.8 需求2： C機器只能和A通訊，讓C機器可以直接連通B機器的22埠 A機器：內網外網都可以訪問 B機器：只有一個內網IP C機器：我的主電腦 1. A機器上開啟埠轉發 echo "1">/proc/sys/net/ipv4/ip_forward 2. 刪除之前建立的規則 iptables -t nat -D POSTROUTING -s 192.168.150.0/24 -o ens33 -j MASQUERADE 3.新增以下規則 iptables -t nat -A PREROUTING -d 192.168.177.130 -p tcp --dport 1122 -j DNAT --to 192.168.150.2:22 iptables -t nat -A POSTROUTING -s 192.168.150.2 -j SNAT --to 192.168.177.130 4.在B機器上新增閘道器 route add default gw 192.168.150.1     二、 iptables規則備份和恢復 使用如下命令： service iptables save 上面這個命令會把規則儲存到: /etc/sysconfig/iptables 把iptables規則備份到檔案中： iptables-save > my.ipt   #iptables規則儲存到了my.ipt這個檔案裡 恢復備份的iptables規則 iptables-restore < my.ipt   #將my.ipt這個檔案裡iptables規則恢復 三、一些擴充套件 1. iptables 針對一個網段 iptables -I INPUT -m iprange --src-range 61.4.176.0-61.4.191.255 -j DROP 2. iptables限制syn速度 原理，每5s內tcp三次握手大於20次的屬於不正常訪問。 iptables -A INPUT -s ! 192.168.0.0/255.255.255.0 -d 192.168.0.101 -p tcp -m tcp --dport 80 -m state --state NEW -m recent --set --name httpuser --rsource iptables -A INPUT -m recent --update --seconds 5 --hitcount 20 --name httpuser --rsource -j DROP 其中192.168.0.0/255.255.255.0 為不受限制的網段， 192.168.0.101  為本機IP。 該iptables策略，可有效預防syn攻擊，也可以有效防止機器人發垃圾帖。