实验考察知识点：
- iptables防火墙的规则配置
- DNS分离解析的配置
实验内容：
web服务器在内网中，提供http服务。
要求内网中的主机能够通过 www.yuji.com 访问该web服务。
外网的主机能够通过 www.yuji.com:8080 访问该web服务。
实验环境：
1、web服务器：192.168.137.10/24（VMnet1)
2、外网主机（win10客户机）：12.0.0.200/24（VMnet2）
3、网关服务器：
ens33网卡地址：192.168.137.137/24（VMnet1）
ens36网卡地址：12.0.0.254/24（VMnet2）
实验拓扑：
实验步骤：
一、配置网关服务器
1、配置网卡。
增加一块网卡ens36。
将ens33的网络模式设置为VMnet1（仅主机模式），地址设置为192.168.137.137。
将ens36的网络模式设置为VMnet2（仅主机模式），地址设置为12.0.0.254。
之后重启网络服务。
2、关闭firewalld和selinux。开启路由转发功能。
[root@yuji ~]# systemctl stop firewalld [root@yuji ~]# setenforce 0 [root@yuji ~]# vim /etc/sysctl.conf net.ipv4.ip_forward = 1 //在文件中增加这一行，开启路由转发功能 [root@yuji ~]# sysctl -p //读取修改后的配置 net.ipv4.ip_forward = 1 复制代码
3、配置iptables策略。
1）设置SNAT服务，解析源地址。修改nat表中的POSTROUTING链
[root@yuji ~]# iptables -t nat -A POSTROUTING -s 192.168.137.10/24 -o ens36 -j SNAT --to 12.0.0.254 #-t nat：指定nat表 #-A POSTROUTING：指定POSTROUTING链 #-s 192.168.72.10/24：源地址网段 #-o ens36：出站网卡 #-j SNAT --to 12.0.0.254：使用SNAT服务，将源地址转换成公网IP地址。 复制代码
2）设置DNAT服务，解析目的地址。修改nat表中的PRETROUTING链。
[root@yuji ~]# iptables -t nat -A PREROUTING -i ens36 -d 12.0.0.254 -p tcp --dport 8080 -j DNAT --to 192.168.137.10:80 复制代码
4、配置DNS分离解析。
当内网解析ww.yuji.com时，将域名解析为：192.168.137.10。
当外网解析ww.yuji.com时，将域名解析为：12.0.0.254。
1）编辑主配置文件。
[root@yuji ~]# vim /etc/named.conf //编辑主配置文件 ----------------------------------- 12 options { 13 listen-on port 53 { any; }; //将监听地址修改为any 14 listen-on-v6 port 53 { ::1; }; 15 directory "/var/named"; 16 dump-file "/var/named/data/cache_dump.db"; 17 statistics-file "/var/named/data/named_stats.txt"; 18 memstatistics-file "/var/named/data/named_mem_stats.txt"; 19 allow-query { any; }; //将允许查询的地址修改为any 52 #zone "." IN { 53 # type hint; 54 # file "named.ca"; 55 #}; 复制代码
2）编辑区域配置文件。
[root@yuji ~]# vim /etc/named.rfc1912.zones //修改区域配置文件，要将view以外的zones都删除 ---------------------- view "lan" { match-clients {192.168.137.0/24;}; //声明内网网段 zone "yuji.com" IN { //声明域名 type master; file "yuji.com.zone.lan"; //声明内网解析时对应的地址库文件 }; zone "." IN { //用于解析根域名 type hint; file "named.ca"; }; }; view "wan" { match-clients {any;}; //声明外网地址 zone "yuji.com" IN { //声明域名 type master; file "yuji.com.zone.wan"; //声明外网解析时对应的地址库文件 }; }; 复制代码
3）配置内网解析地址库文件：
[root@yuji ~]# cd /var/named/ [root@yuji named]# cp -p named.localhost yuji.com.zone.lan [root@yuji named]# vim yuji.com.zone.lan $TTL 1D @ IN SOA @ admin.yuji.com. ( 0 ; serial 1D ; refresh 1H ; retry 1W ; expire 3H ) ; minimum NS @ master A 192.168.137.137 www IN A 192.168.137.10 复制代码
4）配置外网解析地址库文件。之后启动named服务。
[root@yuji named]# cp -p named.localhost yuji.com.zone.wan [root@yuji named]# vim yuji.com.zone.wan $TTL 1D @ IN SOA @ admin.yuji.com. ( 0 ; serial 1D ; refresh 1H ; retry 1W ; expire 3H ) ; minimum NS @ A 12.0.0.254 www IN A 12.0.0.254 [root@yuji named]# systemctl start named //启动named服务 复制代码
二、配置web服务器
1、关闭firewalld和selinux。
[root@web ~]# systemctl stop firewalld [root@web ~]# setenforce 0 复制代码
2、修改网卡配置。
将网络模式修改为VMnet1（仅主机模式）。
编辑网卡配置文件，将网卡地址设置为192.168.137.10，网关地址设置为192.168.137.137。
之后重启网络服务。
3、安装httpd服务，启动服务。
安装httpd软件包，写一个网页，启动httpd服务。本地验证一下能否打开该网页。
[root@web ~]# yum install -y httpd //安装httpd服务 [root@web ~]# cd /var/www/html //切换到httpd服务的根目录 [root@web html]# echo 'this is first web' > index.html //写一个测试网页 [root@web html]# systemctl start httpd //启动httpd服务 复制代码
三、配置外网客户端（win10客户机）
1、修改网卡配置。
将网络模式修改为VMnet2（仅主机模式）。
编辑网卡配置文件，IP地址：12.0.0.200，网关地址：12.0.0.254，DNS服务器地址：12.0.0.254。
2、验证使用 www.yuji.com:8080 访问web服务。
小贴士：
指定DNS服务器的两种方式：
方法一：修改 /etc/resolv.conf 文件。
[root@yuji ~]# vim /etc/resolv.conf nameserver 192.168.137.137 //将DNS服务器地址写入文件中 [root@yuji ~]# cat /etc/resolv.conf //查看文件内容 # Generated by NetworkManager nameserver 192.168.137.137 复制代码
方法二：修改网卡配置文件，之后重启网络服务。系统会自动将DNS服务器地址写入/etc/resolv.conf 文件中。
[root@yuji ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens33 ----------------- DNS1=192.168.137.137 //指定DNS服务器地址 [root@yuji ~]# systemctl restart network //重启网络服务 [root@yuji ~]# cat /etc/resolv.conf //查看文件内容 # Generated by NetworkManager nameserver 192.168.137.137
