系統(tǒng)環(huán)境：centos6.3 x64

成都創(chuàng)新互聯(lián)是專業(yè)的郾城網(wǎng)站建設(shè)公司，郾城接單;提供網(wǎng)站建設(shè)、成都網(wǎng)站建設(shè),網(wǎng)頁設(shè)計(jì),網(wǎng)站設(shè)計(jì),建網(wǎng)站,PHP網(wǎng)站建設(shè)等專業(yè)做網(wǎng)站服務(wù);采用PHP框架,可快速的進(jìn)行郾城網(wǎng)站開發(fā)網(wǎng)頁制作和功能擴(kuò)展;專業(yè)做搜索引擎喜愛的網(wǎng)站,專業(yè)的做網(wǎng)站團(tuán)隊(duì),希望更多企業(yè)前來合作!

IPTABLES：系統(tǒng)自帶

一.部署環(huán)境：

1.關(guān)閉SELINUX

# setenforce 0

# vi /etc/sysconfig/selinux

---------------

SELINUX=disabled

---------------

2.清空默認(rèn)策略并重啟iptables

# iptables -t NAT -F

# iptables -F

# service iptables save

# service iptables restart

3.開啟服務(wù)器端路由轉(zhuǎn)發(fā)功能

# vi /etc/sysctl.conf

---------------------

net.ipv4.ip_forward = 1

---------------------

# sysctl -p

本例我們模擬一個(gè)WEB站點(diǎn),只在防火墻處開啟SSH:22和WEB:80端口,并配置防火墻到內(nèi)網(wǎng)服務(wù)器22與80的端口映射，若開啟其他端口服務(wù)，請自行修改

二.網(wǎng)關(guān)防火墻iptables配置：

1.內(nèi)部回環(huán)網(wǎng)絡(luò)永遠(yuǎn)打開.

# iptables -A INPUT -i lo -s 127.0.0.1 -j ACCEPT

# iptables -A OUTPUT -o lo -s 127.0.0.1 -j ACCEPT

2.用DNAT做端口映射：

# iptables -t nat -A PREROUTING -d 1.2.3.4 -p tcp --dport 22 -j DNAT --to 192.168.100.10

# iptables -t nat -A PREROUTING -d 1.2.3.4 -p tcp --dport 80 -j DNAT --to 192.168.100.10

# 用SNAT作源地址轉(zhuǎn)換（關(guān)鍵），以使回應(yīng)包能正確返回

# iptables -t nat -A POSTROUTING -d 192.168.100.10 -p tcp --dport 22  -j SNAT --to 192.168.100.1

# iptables -t nat -A POSTROUTING -d 192.168.100.10 -p tcp --dport 80  -j SNAT --to 192.168.100.1

3.打開FORWARD鏈的相關(guān)端口(路由轉(zhuǎn)發(fā))

# iptables -A FORWARD -o eth2 -d 192.168.100.10 -p tcp --dport 22 -j ACCEPT

# iptables -A FORWARD -i eth2 -s 192.168.100.10 -p tcp --sport 22 -m state --state

ESTABLISHED,RELATED -j ACCEPT

# iptables -A FORWARD -o eth2 -d 192.168.100.10 -p tcp --dport 80 -j ACCEPT

# iptables -A FORWARD -i eth2 -s 192.168.100.10 -p tcp --sport 80 -m state --state

ESTABLISHED,RELATED -j ACCEPT

4.子網(wǎng)接受其他的tcp包.

# iptables -A FORWARD -p tcp -i eth2 -o eth0 -j ACCEPT

5.子網(wǎng)可以訪問其他UDP協(xié)議的公網(wǎng)服務(wù).

# iptables -A FORWARD -p udp -i eth0 -s 192.168.0.0/24 -o eth2  -j ACCEPT

# iptables -A FORWARD -p udp -i eth2 -d 192.168.0.0/24 -o eth0 -m state --state ESTABLISHED -j ACCEPT

6.子網(wǎng)訪問公網(wǎng)的模式是偽裝成網(wǎng)關(guān)的地址,使內(nèi)網(wǎng)用戶可路由出外網(wǎng)

# iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eth0 -j MASQUERADE

7.拒絕其他所有策略：

# iptables -P FORWARD REJECT

# iptables -A INPUT -j REJECT

# iptables -P OUTPUT REJECT

8.保存并重啟服務(wù):

# service iptables save

# service iptables restart

----------配置完畢-----------