iptables实验2

IPTABLES   实验2

 

 

 

实验大体结构图

 

blob.png

 

 

相关概念及公式

源地址转换:    SNAT   POSTROUTING

目标地址转换:DNAT  PREROUTING

 

每次重启网络后我们都得首先打开连接转发功能,echo 1> /proc/sys/net/ipv4/ip_forward

 

注意此实验 NODE1NODE2eh1位于同一个虚拟网络VMNET0

NODE2eth0NODE3是桥接方式连接,

也就是可以认为NODE3是外网

NODE1是内网。

 

NODE1 : IP :   192.168.42.3

 

 blob.png

 

 

NODE2: 都是作为网关接口来设定的,这样看起来比较简便,实际中肯定不会这样了。

 

blob.png

 

NODE3:  当然就是配置10.1.0.0网段的网址啦。

 blob.png

 

我们启动NODE1HTTPD服务并编辑相应的网页文件即可。

blob.png

继续启动外网NODE3HTTPD 服务

blob.png 

以上环境搭好,让我们来测试下NODE1…NODE3之间能不能通过NODE2  相互联通。

 

NODE1 ———> NODE3

 

blob.png

 

NODE3———->NODE1

 blob.png

 

 

好了能互相PING通说明设置成功,那我们的外网主机NODE3也能获取NODE1的网页文件

blob.png

 

NOD1 能获取NODE3的网页文件

 blob.png

那么让我们接下来设置NODE2的转发防火墙。

 

1.首先打开连接转发功能,echo 1> /proc/sys/net/ipv4/ip_forward

 

2.设置放行所有状态为ESTABLISHED ,RALETEDTCP协议的链接。

NODE2首先开启FTP协议的连接追踪功能

 

 

modprobe       nf_conntrack_ftp

 

添加转发的默认规则

iptables   -A FORWARD    -j  DROP

 

这样我们的内外网的转发功能就被禁掉了,这里列出结果。

blob.png

 

blob.png

                                                                                                                                                  

现在我们让内网服务器能访问外网

iptables -I FORWARD  -s 192.168.42.0/24  -p tcp   –dport  80     -j ACCEPT

 

blob.png

 

当然我们这里是tcp协议,icmp协议当然还是不通了!!

blob.png

内网还是不能出去,这是因为之开放了出去的,响应报文进不来也没用!!

 

那我们接下来开放响应报文

 

iptables  -I   FORWARD 2  -d 192.168.42.0/24   -p tcp    –sport 80   -j   ACCEPT

 

这里我们内网对外网的访问就没有问题了!

 blob.png

Iptables    -vnL

这个就是我们当前的防火墙的总规则

blob.png

 

接下来让我们删除第二条规则,根据状态来做追踪

iptables  -D FOREWARD 2

我们加入根据状态来放行的转发规则,这样我们只要定义请求规则就可以了;

iptables -I FORWARD  -m state –state RELATED,ESTABLISHED -j ACCEPT

 

现在我们内网的主机想用ssh连接到外网怎么办?

很简单我们把第二条规则改下就可以了,我们只放行内网链接状态为NEW的连接!

我们在NEW方向加了状态

iptables -R FORWARD 2 -s 192.168.42.0/24 -p tcp -m multiport  –dports 80,21,22,23,139,445 -m state –state NEW -j ACCEPT

 blob.png

这就是改动后的规则

这里的内网对外网curlssh远程登陆都没有问题

这里的ssh可能会稍微时间长点因为每个包都得经过FORWARD 链进行过滤,所以速度当然就慢点了,台式机可能会快点。

 

blob.png

  

 blob.png

这里我们启动NODE3smbvsftpd服务,telnet服务看看NODE1上面什么反应!

 

blob.png

 

 blob.png

这里我们从NODE1上进行访问NODE3samba服务

 

blob.png

 

接下来我们测试下NODE1连接NODE3ftp服务有没有问题

blob.png

这里看出也是没有任何问题的!!!

 

 

注意:以后我们工作时在修改IPTABLES时定义一个自动20分钟运行的守护进程,让其清空防火墙,这样就能避免我们添加防火墙失败的问题,添加成功我们就删除这个自定义脚本;

原创文章,作者:sjfbjs,如若转载,请注明出处:http://www.178linux.com/53567

(0)
上一篇 2016-10-24 09:09
下一篇 2016-10-24 09:09

相关推荐

  • Linux进程管理及作业管理

    进程管理 进程概念 Linux内核:抢占式多任务 内核的功用:进程管理、文件系统、网络功能、内存管理、驱动程序、安全功能等 Process: 运行中的程序的一个副本,是被载入内存的一个指令集合 进程ID(Process ID,PID)号码被用来标记各个进程 UID、GID、和SELinux语境决定对文件系统的存取和访问权限 通常从执行进程的用户来继承 进程存…

    Linux干货 2017-05-08
  • linux终端变量设置,文件系统,man使用说明,文件类型

    一、定义终端提示符的变量 export PS1=’\e[32m[\e[33m\u\e[31m@\e[35m\h\e[36m\t\e[34m\#\e[31m\s\e[37m\W\e[32m]\$ ‘  `]# export 是个命令      PS1指终端提示符变量    &n…

    Linux干货 2013-06-16
  • Linux用户和组的主要配置文件及其相关命令

    Linux用户和组的主要配置文件: /etc/passwd:用户及其属性信息 /etc/shadow用户密码及其相关属性 /etc/group组及其属性信息 etc/gshadow组密码及其相关属性 /etc/passwd 1.用户名: 2.密码位:x pwconv (默认) 将密码映射到了/etc/shadow pwunconv 将密码保存到/etc/pa…

    2017-07-22
  • 马哥教育第20期一班第一周博客

    Linux入门 1、Linux的哲学思想 一切皆文件(硬件设备亦表现为文件) 由众多目的单一的小程序组成;一个程序只做一件事,并且要做好 组合小程序完成复杂任务 尽可能避免跟用户交互 使用文本文件保存配置信息 提供机制,而非策略 2、常用命令 id命令 简介:   id – print real a…

    Linux干货 2016-07-26
  • 第一次测试

    1.第一层  video  视频 2.第二层  audio  音频 3.第三层  字幕 查看视频详细信息 ffmpeg -i 视频文件 转码修改视频格式 ffmpeg -i 输入文件   输出文件格式 视频文件中提取音频和视频 提取视频中的音频 ffmpeg -i CP0454900262.ts -…

    Linux干货 2017-02-06
  • 设计模式 ( 十六 ) 观察者模式Observer(对象行为型)

    1.概述 一些面向对象的编程方式,提供了一种构建对象间复杂网络互连的能力。当对象们连接在一起时,它们就可以相互提供服务和信息。 通常来说,当某个对象的状态发生改变时,你仍然需要对象之间能互相通信。但是出于各种原因,你也许并不愿意因为代码环境的改变而对代码做大的修改。也许,你只想根据你的具体应用环境而改进通信代码。或者,你只想简单的重新构造通信代码来避免类和类…

    Linux干货 2015-07-24