通過上一篇文章的學習，我們認識了Linux防火牆的表、鏈機構，並學會了編寫簡單的防火牆規則。Linux防火牆在很多時候承擔著連線企業內、外網的重任，除了提供資料包過濾功能以外，有時還需要提供一些基本的閘道器應用。

在配置SNAT和DNAT之前，需要開啟Linux系統中的地址轉發功能，否則資料無法通過防火牆轉發出去。

修改/etc/sysctl.conf配置檔案件，將ip_forward的值設定為1即可。

[[email protected] /]#vim /etc/sysctl.conf

......//省略部分內容

net.ipv4.ip_forwaed=1             //將此行中的0改為1

[[email protected]

也可以開啟臨時的路由轉發，可以執行以下操作。

[[email protected]ocalhost /]#echo 1> /proc/sys/net/ipv4/ip_forward

或者

[[email protected] /]#sysctl -w net.ipv4.ip_forward=1

SNAT的策略及應用

SNAT：源地址轉換，是Linux防火牆的一種地址轉換操作，也是iptables命令中的一種資料包控制型別，其作用是根據指定條件修改資料包的源IP地址。

SNAT策略只能用在nat表的POSTROUTING鏈中，使用iptables命令編寫SNAT策略時，需要結合“--to-source  IP地址”選項來指定修改後的源IP地址。

列如：Linux閘道器伺服器通過eth0和eth1分別連線Internet和區域網，其中eth0的IP地址為218.29.30.31，eth1的IP地址為192.168.1.1。現在要求在Linux閘道器伺服器上配置規則，使用區域網內的所有使用者可以通過共享的方式訪問網際網路。可執行以下操作。

1)開啟路由轉發，上面已經講過，這裡不在詳述了。

2）在iptables的POSTROUTING中編寫SNAT規則。

[[email protected] /]#iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 218.29.30.31

3）在某些情況下，閘道器的外網IP地址可能不是固定的，列如使用ADSL寬頻接入時，針對這這種需求，iptables提供了一個名為MASQUERASE(偽裝)的資料包控制型別，MASQUERADE相當於SNAT的一個特列，同樣同來修改資料包的源IP地址只過過它能過自動獲取外網介面的IP地址。

參照上一個SNAT案例，若要使用MASQUERADE偽裝策略，只需要去掉SNAT策略中的“--to-source IP地址”。然而改為“-j MASQUERADE”指定資料包的控制型別。對於ADSL寬頻連線來說，連線名稱通常為ppp0，ppp1等。操作如下

[[email protected] /]#iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

4)測試SNAT共享接入的結果

同過上面的配置，這時內部區域網訪問網際網路所使用的IP地址是閘道器伺服器的外網介面地址了。我們可以在往外客戶端執行“tcpdump -i eth0”監聽訪問本機的資料流，然後在內網ping外網客戶端，然後檢視外網客戶端監聽的狀態，會發現，訪問外網客戶機的IP地址是閘道器伺服器的外網介面地址，而不是內部區域網的地址。

DNAT策略及應用

DNAT：目標地址轉換，是Linux防火牆的另一種地址轉換操作，同樣也是iptables命令中的一種資料包控制型別，其作用是根據指定條件修改資料包的目標IP地址，目標埠。

DNAT策略與SNAT策略非常相似，只不過應用方向反過來了。SNAT用來修改源地址IP，而DNAT用來修改目標IP地址，目標埠；SNAT只能用在nat表的POSTROUTING鏈，而DNAT只能用在nat表的PREROUTING鏈和OUTPUT鏈中。

列如：藉助上述網路環境，公司內部區域網內搭建了一臺web伺服器，IP地址為192.168.1.7，現在需要將其釋出到網際網路上，希望通過網際網路訪問web伺服器。那麼我們可以執行如下操作。

1)在iptables的PREROUTING中編寫DNAT規則。

[[email protected] /]#iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.7:80

2)再列如：公司的web伺服器192.168.1.7需要通過網際網路遠端管理，由於考慮到安全問題，管理員不希望使用預設埠進行訪問，這時我們可以使用DNAT修改服務的預設埠。操作如下：

[[email protected] /]#iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 2346 -j DNAT --to-destination 192.168.1.7:22

3）在外網客戶端瀏覽器中訪問閘道器伺服器的外網介面，可以發現訪問的居然是內網192.168.1.7的web伺服器的網頁。而在使用sshd連線2346埠時，居然可以遠端連線到192.168.1.7伺服器上。