前言
当我们访问一个服务器的时候，客户端在局域网内是私网地址，访问的服务器也在局域网内也是私网地址，前者需要转换成公网地址访问服务器才能收到服务器的反馈，后者需要将自己的私网IP地址隐藏起来不暴露在公网中，以免受到攻击成为肉机或者矿机前者使用SNAT技术，后者使用DNAT技术
一、SNAT策略
应用场景
局域网主机共享单个公网IP地址接入Internet
原理及应用
源地址转换（Source Network Address Translation），修改数据包的源地址
客户端往网关服务器发数据包，通过网关服务器不进行转发，发送至需要访问的服务器，访问后，数据包回来的时候还是私网IP，原来的源IP作为目的IP进行传送，私网IP作为目的地址在互联网中会被丢弃，所以我们需要将IP进行转换，这样就能以公网IP的身份返回
转换前提条件
局域网各主机已正确设置IP地址、子网掩码、默认网关地址
Linux网关开启IP路由转发
临时打开
echo 1 > /proc/sys/net/ipv4/ip_forward 或 sysctl -w net.ipv4.ip_forward=1
永久打开
vim /etc/sysctl.conf net.ipv4.ip_forward=1 #将此行写入配置文件 systcl -p #读取修改后的配置
二、DNAT策略
应用场景
在Internet中发布内网服务器，保护自己的服务器不暴露在公网中，以免受到攻击
原理
目标地址转换（Destination Network Address Translation）
修改数据包的目的地址
转换条件
1.局域网的web服务器能够访问Internet
2.网关的外网IP地址有正确的DNS解析记录
3.Linux网关支持IP路由转换
DNAT转换:发布内网的web服务
#把从ens33进来的要访问web服务的数据包目的地址转换为192.168.109.11 iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.109.11 或 iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.109.11 iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.8109.11-192.168.109.20 -A PREROUTING 修改目的地址的链 -i ens33 入站网卡 -d 12.0.0.254 数据包的目的地址 -p tcp --dport 80 数据包的目的端口 -j DNAT --to 192.168.109.11 内网服务器IP
三、实验SNAT
1.实验准备
网关服务器内网网卡192.168.109.131
网关服务器外网网卡12.0.0.254
http服务器12.0.0.12
客户端192.168.109.200
2.网关服务器设置两个网卡
3.修改网关服务器网卡信息
#网关服务器 [root@localhost ~]# cd /etc/sysconfig/network-scripts/ [root@localhost network-scripts]# cp ifcfg-ens33 ifcfg-ens36 [root@localhost network-scripts]# vim ifcfg-ens33 #GATEWAY=192.168.109.2 #DNS1=8.8.8.8 #注释网关以及DNS [root@localhost network-scripts]# vim ifcfg-ens36 TYPE=Ethernet PROXY_METHOD=none BROWSER_ONLY=no BOOTPROTO=static DEFROUTE=yes IPV4_FAILURE_FATAL=no IPV6INIT=yes IPV6_AUTOCONF=yes IPV6_DEFROUTE=yes IPV6_FAILURE_FATAL=no IPV6_ADDR_GEN_MODE=stable-privacy NAME=ens36 #UUID=9c73edf9-79f7-45e2-9fd8-dc405729095e DEVICE=ens36 ONBOOT=yes IPADDR=12.0.0.254 NETMASK=255.255.255.0 #改成公网的IP地址，网关和DNS删掉，UUID注释掉 [root@localhost network-scripts]# systemctl restart network #重启网卡
4.修改http服务器网卡信息，安装http服务
5.设置客户端
此时客户机能够ping通两个网关，但是ping不通http服务器，因为网关服务器没有开启ip转发功能，开启后就可以了
[root@localhost ~]# vim /etc/sysctl.conf net.ipv4.ip_forward=1 #加入这一段 [root@localhost ~]# sysctl -p #重新加载一下
此时使用的是私网地址访问的服务器，无法回馈消息给客户机，这是模拟才能显示页面，如果是在真实生产环境中是访问不了的，所以需要将私网IP转换成公网IP进行访问
[root@localhost ~]# iptables -F [root@localhost ~]# iptables -F -t nat [root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254 [root@localhost ~]# iptables -nL -t nat Chain PREROUTING (policy ACCEPT) target prot opt source destination Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination SNAT all -- 192.168.109.0/24 0.0.0.0/0 to:12.0.0.254 [root@localhost ~]#
小知识点：一个IP地址做SNAT转换，一般可以让内网100到200台主机实现上网
四、实验DNAT
1.实验准备
网关服务器内网网卡192.168.109.131
网关服务器外网网卡12.0.0.254
http服务器192.168.109.20
客户端12.0.0.200
2.修改网卡信息
[root@localhost ~]# iptables -F [root@localhost ~]# iptables -F -t nat [root@localhost ~]# iptables -nL -t nat Chain PREROUTING (policy ACCEPT) target prot opt source destination Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination [root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254 [root@localhost ~]# iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.109.20:80 #-i ens36 入站网卡 #-d 12.0.0.254 外网数据包的地址 #-p tcp --dport 8080 指定协议和端口 #-j DNAT #--to 192.168.109.20:80 转换到内网服务器地址和端口 [root@localhost ~]# iptables -nL -t nat Chain PREROUTING (policy ACCEPT) target prot opt source destination DNAT tcp -- 0.0.0.0/0 12.0.0.254 tcp dpt:8080 to:192.168.109.20:80 Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination SNAT all -- 192.168.109.0/24 0.0.0.0/0 to:12.0.0.254
[root@localhost httpd]# systemctl restart httpd #重启httpd服务
总结
SNAT（针对客户端） |
源地址转换数据包从内网发送至公网时，SNAT会把数据包的源IP由私网IP转换成公网IP。当响应的数据包从公网发送内容时，会把数据包的目的IP由公网IP转为私网IP |
DNAT（针对服务器端） |
将公网IP映射为局域网内对应的私网IP的服务器 |
