SNAT和DNAT原理及应用

本文涉及的产品
公网NAT网关,每月750个小时 15CU
简介: SNAT和DNAT原理及应用

前言


当我们访问一个服务器的时候,客户端在局域网内是私网地址,访问的服务器也在局域网内也是私网地址,前者需要转换成公网地址访问服务器才能收到服务器的反馈,后者需要将自己的私网IP地址隐藏起来不暴露在公网中,以免受到攻击成为肉机或者矿机前者使用SNAT技术,后者使用DNAT技术


一、SNAT策略


应用场景

局域网主机共享单个公网IP地址接入Internet


原理及应用

地址转换(Source Network Address Translation),修改数据包的源地址


客户端往网关服务器发数据包,通过网关服务器不进行转发,发送至需要访问的服务器,访问后,数据包回来的时候还是私网IP,原来的源IP作为目的IP进行传送,私网IP作为目的地址在互联网中会被丢弃,所以我们需要将IP进行转换,这样就能以公网IP的身份返回


转换前提条件

局域网各主机已正确设置IP地址、子网掩码、默认网关地址

Linux网关开启IP路由转发

临时打开

echo 1 > /proc/sys/net/ipv4/ip_forward
sysctl -w net.ipv4.ip_forward=1

永久打开

vim /etc/sysctl.conf
net.ipv4.ip_forward=1  #将此行写入配置文件
systcl -p    #读取修改后的配置


二、DNAT策略


应用场景

在Internet中发布内网服务器,保护自己的服务器不暴露在公网中,以免受到攻击


原理

目标地址转换(Destination Network Address Translation)


修改数据包的目的地址


转换条件

1.局域网的web服务器能够访问Internet

2.网关的外网IP地址有正确的DNS解析记录

3.Linux网关支持IP路由转换


DNAT转换:发布内网的web服务


#把从ens33进来的要访问web服务的数据包目的地址转换为192.168.109.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.109.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to-destination 192.168.109.11
iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.254 -p tcp --dport 80 -j DNAT --to 192.168.8109.11-192.168.109.20
-A PREROUTING 修改目的地址的链           
-i ens33 入站网卡
-d 12.0.0.254 数据包的目的地址
-p tcp --dport 80 数据包的目的端口
-j DNAT 
--to 192.168.109.11  内网服务器IP


三、实验SNAT


1.实验准备


网关服务器内网网卡192.168.109.131


网关服务器外网网卡12.0.0.254


http服务器12.0.0.12


客户端192.168.109.200



2.网关服务器设置两个网卡



3.修改网关服务器网卡信息


#网关服务器
[root@localhost ~]# cd /etc/sysconfig/network-scripts/
[root@localhost network-scripts]# cp ifcfg-ens33 ifcfg-ens36
[root@localhost network-scripts]# vim ifcfg-ens33
#GATEWAY=192.168.109.2
#DNS1=8.8.8.8
#注释网关以及DNS
[root@localhost network-scripts]# vim ifcfg-ens36
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens36
#UUID=9c73edf9-79f7-45e2-9fd8-dc405729095e
DEVICE=ens36
ONBOOT=yes
IPADDR=12.0.0.254
NETMASK=255.255.255.0
#改成公网的IP地址,网关和DNS删掉,UUID注释掉
[root@localhost network-scripts]# systemctl restart network
#重启网卡


4.修改http服务器网卡信息,安装http服务






5.设置客户端



此时客户机能够ping通两个网关,但是ping不通http服务器,因为网关服务器没有开启ip转发功能,开启后就可以了


[root@localhost ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward=1  #加入这一段
[root@localhost ~]# sysctl -p
#重新加载一下




  此时使用的是私网地址访问的服务器,无法回馈消息给客户机,这是模拟才能显示页面,如果是在真实生产环境中是访问不了的,所以需要将私网IP转换成公网IP进行访问


[root@localhost ~]# iptables -F 
[root@localhost ~]# iptables -F -t nat
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.109.0/24     0.0.0.0/0            to:12.0.0.254
[root@localhost ~]#




小知识点:一个IP地址做SNAT转换,一般可以让内网100到200台主机实现上网


四、实验DNAT


1.实验准备


网关服务器内网网卡192.168.109.131


网关服务器外网网卡12.0.0.254


http服务器192.168.109.20


客户端12.0.0.200


2.修改网卡信息




[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -F -t nat 
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
[root@localhost ~]# iptables -t nat -A POSTROUTING -s 192.168.109.0/24 -o ens36 -j SNAT --to 12.0.0.254
[root@localhost ~]# iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.109.20:80
#-i ens36 入站网卡
#-d 12.0.0.254 外网数据包的地址
#-p tcp --dport 8080 指定协议和端口
#-j DNAT 
#--to 192.168.109.20:80  转换到内网服务器地址和端口
[root@localhost ~]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.254           tcp dpt:8080 to:192.168.109.20:80
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.109.0/24     0.0.0.0/0            to:12.0.0.254



[root@localhost httpd]# systemctl restart httpd
#重启httpd服务


总结


SNAT(针对客户端)

源地址转换数据包从内网发送至公网时,SNAT会把数据包的源IP由私网IP转换成公网IP。当响应的数据包从公网发送内容时,会把数据包的目的IP由公网IP转为私网IP

DNAT(针对服务器端)

将公网IP映射为局域网内对应的私网IP的服务器

目录
相关文章
|
10月前
|
网络协议 Docker 容器
docker启动报错 (iptables failed: iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 9876 -j DNAT --
docker启动报错 (iptables failed: iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 9876 -j DNAT --
283 0
|
2月前
|
弹性计算 Linux 网络安全
三步搭建VPC专有网络NAT网关,配置SNAT和DNAT规则(补充版)
申明:该文档参考于用户 “帅宝宝”的文档进行的优化,新增永久生效的方式
284 1
|
3月前
|
网络协议 Linux 网络安全
Linux-SNAT和DNAT
Linux-SNAT和DNAT
36 0
|
11月前
|
弹性计算 运维 数据安全/隐私保护
《企业运维之云上网络原理与实践》——第三章 云上网络VPC&EIP&NAT&共享宽带&SLB——配套实验:ECS通过SNAT访问CLB(1)
《企业运维之云上网络原理与实践》——第三章 云上网络VPC&EIP&NAT&共享宽带&SLB——配套实验:ECS通过SNAT访问CLB(1)
247 0
|
11月前
|
弹性计算 运维
《企业运维之云上网络原理与实践》——第三章 云上网络VPC&EIP&NAT&共享宽带&SLB——配套实验:ECS通过SNAT访问CLB(2)
《企业运维之云上网络原理与实践》——第三章 云上网络VPC&EIP&NAT&共享宽带&SLB——配套实验:ECS通过SNAT访问CLB(2)
199 0
|
网络协议 Linux
iptables之SNAT与DNAT(二)
iptables之SNAT与DNAT(二)
iptables之SNAT与DNAT(二)
|
网络协议 Linux 网络安全
|
11天前
|
Linux 虚拟化
VMware workstation 中centos7虚拟机在nat模式下怎么配置网卡,指定我想要的IP并且可以联网
https://blog.csdn.net/2302_78534730/article/details/132825156?spm=1001.2014.3001.5502
131 0
|
8月前
|
弹性计算 运维 网络架构
【运维知识进阶篇】用阿里云配置NAT网关配置
【运维知识进阶篇】用阿里云配置NAT网关配置
333 0
|
8月前
|
运维 Shell 网络安全
【运维知识进阶篇】iptables防火墙详解(iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射)(三)
【运维知识进阶篇】iptables防火墙详解(iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射)(三)
1359 0