Firewalld防火墙（二。1）

2023-02-08 93

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： ⭐本文介绍⭐上一章介绍了Linux防火墙，并简单的编写了防火墙规则。Liunx防火墙在很多时候承担着连接企业内、外网的重任，除了提供数据包过滤功能以外，还提供了一些基本的网关应用。本文将介绍Linux防火墙的地址转换策略，分别掌握两个典型的应用：局域网共享一个公网IP地址接入Internet发布位于内网的应用服务器。

📝理论讲解：

IP伪装与端口转发

在互联网发展初期，设计者们并没有想到互联网会发展到现在这个空前繁荣的阶段，设计的IPv4地址空间只有32位。但随着互联网的发展，IP地址变得严重缺乏，并且地址分配不均匀，所以就在原有IPv4地址空间的基础上划分出来三段私网地址空间：10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。这些地址可以在企业或者公司内部被重复使用，但是不能用于互联网，因为上述三个范围内的地址无法在Internet上被路由。

于是NAT（网络地址转换）技术便产生了，当用户数据包经过NAT设备时，NAT设备将源地址替换为公网IP地址，二返回的数据包就可以被路由。NAT技术一般都是在企业边界路由器或者防火墙上来配置。

Firewalld支持两种类型的NAT：IP地址伪装和端口转发。

1.IP地址伪装

地址伪装（masquerade）：通过地址伪装，NAT设备将经过设备的包转发到制定的接收方，同时将通过的数据包的源地址更改为其自己的接口地址。当返回的数据包到达时，会将目的地址为原始主机的地址并做路由。地址伪装可以实现局域网多个地址共享单一公网地址上网。类似于NAT技术中的端口多路复用（PAT）。IP地址伪装仅支持IPv4，不支持IPv6

2.端口转发

端口转发（Forward-port）：也称为目的地址转换或端口映射。通过端口转发，将指定IP地址及端口的流量转发到相同计算机上的不同端口，或不同计算机上的端口。企业内网的服务器一般都采用私网地址，可以通过端口转发将使用私网地址的服务器发布到公网，以便让互联网访问。例如，当接收互联网用户的HTTP请求时，网关服务器判断数据包的目标地址与目标端口，一旦匹配到指定规则，则将其目标地址修改为内网真正的服务器地址，从而建立有效连接。