DNAT和SNAT实践

news2024/9/23 23:41:14

NAT分SNAT和DNAT两种。从名字上区分：

  • SNAT将源IP地址替换为出口网络的IP地址，以便内网地址可以访问外网服务。一般受限于公网IP有限，一个内网集合想访问外网服务，则用统一的出口做代理。出口配置公网IP，帮助从此发出的包找到回来的路。

  • DNAT将目的IP地址替换为真实服务的IP地址，以便外网地址可以访问内网服务。一般情况用于内网服务要暴露到公网，提供统一的入口地址。
    在这里插入图片描述

我们用PC1、和EXT模拟两个不同的子网环境（也可以看作内网和外网）。PXY作为网关

先创建实验需要的namespace

ip netns add PC1
ip netns add PXY
ip netns add EXT

ip link add PC1_PXY type veth peer name PXY_PC1
ip link add PXY_EXT type veth peer name EXT_PXY

ip link set PC1_PXY netns PC1
ip link set EXT_PXY netns EXT
ip link set PXY_PC1 netns PXY
ip link set PXY_EXT netns PXY

SNAT实验

要达到的目的：在PC1里面要能ping同EXT里面的2.2.2.2、100.100.100.2

基础配置

PC1配置

[root@i-pvirg1hu ~]# ip netns exec PC1 bash
[root@i-pvirg1hu ~]# ip address add 192.168.1.1/24 dev PC1_PXY
[root@i-pvirg1hu ~]# ip link set PC1_PXY up

配置到网关的路由

[root@i-pvirg1hu ~]# ip route add default dev PC1_PXY via 192.168.1.254

PXY配置

[root@i-pvirg1hu ~]# ip netns exec PXY bash
[root@i-pvirg1hu ~]# ip address add 192.168.1.254/24 dev PXY_PC1
[root@i-pvirg1hu ~]# ip address add 100.100.100.1/24 dev PXY_EXT
[root@i-pvirg1hu ~]# ip link set PXY_PC1 up
[root@i-pvirg1hu ~]# ip link set PXY_EXT up

查看下当前路由信息

[root@i-pvirg1hu ~]# ip r
100.100.100.0/24 dev PXY_EXT proto kernel scope link src 100.100.100.1 
192.168.1.0/24 dev PXY_PC1 proto kernel scope link src 192.168.1.254

配置网关的默认路由

[root@i-pvirg1hu ~]# ip route add default dev PXY_EXT via 100.100.100.2

EXT配置

[root@i-pvirg1hu ~]# ip netns exec EXT bash
[root@i-pvirg1hu ~]# ip address add 100.100.100.2/24 dev EXT_PXY
[root@i-pvirg1hu ~]# ip link set EXT_PXY up

SVR相关

[root@i-pvirg1hu ~]# ip link add SVR type dummy
[root@i-pvirg1hu ~]# ip address add 2.2.2.2/32 dev SVR
[root@i-pvirg1hu ~]# ip link set SVR up

查看下当前路由信息

[root@i-pvirg1hu ~]# ip r
100.100.100.0/24 dev EXT_PXY proto kernel scope link src 100.100.100.2 
[root@i-pvirg1hu ~]#

以上基础配置完毕后，我们还不能在PC1上ping通2.2.2.2和100.100.100.2

配置SNAT

现在我们做SNAT在PXY上

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 100.100.100.1

做了SNAT后，就能ping通2.2.2.2和100.100.100.2

详细解释一下这条 iptables 命令:

  1. iptables -t nat: 这个选项指定了要操作的 iptables 表为 nat 表。nat 表主要用于对数据包的源地址或目的地址进行转换。

  2. -A POSTROUTING: 这个选项指定了要添加规则的链为 POSTROUTING 链。POSTROUTING 链是在数据包从本机转发出去之前最后一个可以修改的位置。

  3. -s 192.168.1.0/24: 这个选项指定了规则的匹配条件为数据包的源地址在 192.168.1.0/24 网段内。也就是说,这条规则只会对从 192.168.1.0/24 网段发出的数据包起作用。

  4. -j SNAT --to 100.100.100.1: 这个选项指定了如何处理匹配到的数据包。-j SNAT 表示要对数据包执行 SNAT(Source Network Address Translation)操作,也就是修改数据包的源 IP 地址。--to 100.100.100.1 表示把数据包的源 IP 地址修改为 100.100.100.1。

总的来说,这条 iptables 规则的作用是:

在 iptables 的 nat 表的 POSTROUTING 链上,对从 192.168.1.0/24 网段发出的数据包执行 SNAT 操作,将源 IP 地址修改为 100.100.100.1。

这种 SNAT 操作通常用于实现内网用户访问外网时,将内网地址转换为公网地址的功能。例如,内网用户通过 NAT 访问外网时,可以将内网 IP 地址修改为公网 IP 地址 100.100.100.1。这样可以隐藏内网用户的真实 IP 地址,提高安全性。

抓包看看

在PC1上ping -c 5 100.100.100.2

然后在EXT上抓包看看tcpdump -i EXT_PXY -nel。可以看到确实将源地址转为了100.100.100.1

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on EXT_PXY, link-type EN10MB (Ethernet), capture size 262144 bytes
16:05:07.133629 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype IPv4 (0x0800), length 98: 100.100.100.1 > 100.100.100.2: ICMP echo request, id 13262, seq 1, length 64
16:05:07.133641 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 100.100.100.1: ICMP echo reply, id 13262, seq 1, length 64
16:05:08.160148 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype IPv4 (0x0800), length 98: 100.100.100.1 > 100.100.100.2: ICMP echo request, id 13262, seq 2, length 64
16:05:08.160173 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 100.100.100.1: ICMP echo reply, id 13262, seq 2, length 64
16:05:09.185148 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype IPv4 (0x0800), length 98: 100.100.100.1 > 100.100.100.2: ICMP echo request, id 13262, seq 3, length 64
16:05:09.185186 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 100.100.100.1: ICMP echo reply, id 13262, seq 3, length 64
16:05:10.208447 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype IPv4 (0x0800), length 98: 100.100.100.1 > 100.100.100.2: ICMP echo request, id 13262, seq 4, length 64
16:05:10.208497 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 100.100.100.1: ICMP echo reply, id 13262, seq 4, length 64
16:05:11.232869 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype IPv4 (0x0800), length 98: 100.100.100.1 > 100.100.100.2: ICMP echo request, id 13262, seq 5, length 64
16:05:11.232910 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 100.100.100.1: ICMP echo reply, id 13262, seq 5, length 64
16:05:12.224767 1a:80:9a:d3:7c:a5 > 92:b9:5f:97:29:de, ethertype ARP (0x0806), length 42: Request who-has 100.100.100.2 tell 100.100.100.1, length 28
16:05:12.224863 92:b9:5f:97:29:de > 1a:80:9a:d3:7c:a5, ethertype ARP (0x0806), length 42: Reply 100.100.100.2 is-at 92:b9:5f:97:29:de, length 28

深入

todo

DNAT实验

要达到的效果是在EXT里面ping 100.100.100.1时在PC1上能收到对应的包

我们在PXY上做DNAT

iptables -t nat -A PREROUTING -d 100.100.100.1 -j DNAT --to-destination 192.168.1.1

这条 iptables 命令的作用是设置 DNAT（目标 NAT）规则,用于将目的地址为 100.100.100.1 的数据包重定向到 192.168.1.1。具体来说:

  1. iptables -t nat -A PREROUTING: 这部分表示添加一条 NAT 表的 PREROUTING 链规则。PREROUTING 链是在数据包进入本机时被调用的。

  2. -d 100.100.100.1: 这部分指定了目的地址为 100.100.100.1 的数据包才会被这条规则匹配到。

  3. -j DNAT: 这部分指定了当规则被匹配时要执行的动作是 DNAT。DNAT 动作会将数据包的目的 IP 地址转换为指定的地址。

  4. --to-destination 192.168.1.1: 这部分指定了数据包的目的地址要转换为 192.168.1.1。

综合起来,这条命令的作用是:当数据包的目的地址为 100.100.100.1 时,将其目的地址转换为 192.168.1.1。这通常用于实现端口转发或虚拟主机等功能,例如将访问 100.100.100.1:80 的流量转发到内部的 192.168.1.1:80。

添加规则后，用检查下iptables -t nat -vnL检查下，可以看到成功添加


Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DNAT       all  --  *      *       0.0.0.0/0            100.100.100.1        to:192.168.1.1

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    4   336 SNAT       all  --  *      *       192.168.1.0/24       0.0.0.0/0            to:100.100.100.1

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

接着我们去EXT上ping -c 5 100.100.100.1，然后在PC1上抓包看效果

dropped privs to tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on PC1_PXY, link-type EN10MB (Ethernet), capture size 262144 bytes
14:39:51.535160 96:20:c1:bf:de:38 > f2:59:8f:fd:4c:1f, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 192.168.1.1: ICMP echo request, id 5192, seq 1, length 64
14:39:51.535174 f2:59:8f:fd:4c:1f > 96:20:c1:bf:de:38, ethertype IPv4 (0x0800), length 98: 192.168.1.1 > 100.100.100.2: ICMP echo reply, id 5192, seq 1, length 64
14:39:52.570353 96:20:c1:bf:de:38 > f2:59:8f:fd:4c:1f, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 192.168.1.1: ICMP echo request, id 5192, seq 2, length 64
14:39:52.570377 f2:59:8f:fd:4c:1f > 96:20:c1:bf:de:38, ethertype IPv4 (0x0800), length 98: 192.168.1.1 > 100.100.100.2: ICMP echo reply, id 5192, seq 2, length 64
14:39:53.594362 96:20:c1:bf:de:38 > f2:59:8f:fd:4c:1f, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 192.168.1.1: ICMP echo request, id 5192, seq 3, length 64
14:39:53.594386 f2:59:8f:fd:4c:1f > 96:20:c1:bf:de:38, ethertype IPv4 (0x0800), length 98: 192.168.1.1 > 100.100.100.2: ICMP echo reply, id 5192, seq 3, length 64
14:39:54.618336 96:20:c1:bf:de:38 > f2:59:8f:fd:4c:1f, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 192.168.1.1: ICMP echo request, id 5192, seq 4, length 64
14:39:54.618363 f2:59:8f:fd:4c:1f > 96:20:c1:bf:de:38, ethertype IPv4 (0x0800), length 98: 192.168.1.1 > 100.100.100.2: ICMP echo reply, id 5192, seq 4, length 64
14:39:55.642347 96:20:c1:bf:de:38 > f2:59:8f:fd:4c:1f, ethertype IPv4 (0x0800), length 98: 100.100.100.2 > 192.168.1.1: ICMP echo request, id 5192, seq 5, length 64
14:39:55.642371 f2:59:8f:fd:4c:1f > 96:20:c1:bf:de:38, ethertype IPv4 (0x0800), length 98: 192.168.1.1 > 100.100.100.2: ICMP echo reply, id 5192, seq 5, length 64

用nc验证下，在PC1监听一个端口

nc -l -p 9999

在EXT去用nc连接

nc 100.100.100.1 9999

然后从PC1发消息EXT也能正常收到，DNAT成功

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2126568.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Java重修笔记 第五十四天 坦克大战（二）常用的绘图方法、画出坦克图形

Java重修笔记 第五十四天 坦克大战（二）常用的绘图方法、画出坦克图形

常用的绘图方法 1.设置当前画笔的颜色，可多次调用 public abstract void setColor(Color c) 参数：c -颜色 2. 画一条直线 public abstract void drawLine(int x1, int y1, int x2, int y2) 参数：x1 - 第一个点的 x坐标。 y1 - 第一点的 y坐…
阅读更多...
Git使用—把当前仓库的一个分支push到另一个仓库的指定分支、基于当前仓库创建另一个仓库的分支并推送到对应仓库(mit6828)

Git使用—把当前仓库的一个分支push到另一个仓库的指定分支、基于当前仓库创建另一个仓库的分支并推送到对应仓库(mit6828)

目录 背景提示 将当前仓库的一个分支push到另一个仓库的指定分支 直接基于仓库rep1中的某个分支创建新的分支并将其推送到目标仓库rep2 补充 参考链接 背景提示 最近打算做一下mit6.828的项目，这个仓库使用问题困扰了自己一段时间，由于6828官方提供…
阅读更多...
92、K8s之ingress下集

92、K8s之ingress下集

一、ingress 1.1、两种部署方式 1、ingress------------deployment nodeport ​ daemonset hostnetwork----每台设备只能有一个pod，因为直接使用宿主机的端口，所以只能开启一个pod。 2、ingress------svc------deployment里面的pod，这种…
阅读更多...
文件IO编程

文件IO编程

文章目录 文件描述符相关系统调用文件有关的系统调用文件操作函数--creat函数文件操作函数--open函数文件操作函数--read函数文件操作函数--write函数文件操作函数--close函数文件操作函数--lseek函数缓冲区的大小对性能的影响 实验：调用系统函数，实现文…
阅读更多...
Linux：体系结构和操作系统管理

Linux：体系结构和操作系统管理

目录 一、冯诺依曼体系结构 1.问题1 2.问题2 二、操作系统管理 一、冯诺依曼体系结构 本章将会谈论一下对冯诺依曼计算机体系结构的理解。 在2024年，几乎所有的计算机，都遵守冯诺依曼体系结构。 冯诺依曼体系结构是应用在硬件层面的，而硬…
阅读更多...
Docker高级管理--Compose容器编排与私有仓库（Docker技术集群与应用）

Docker高级管理--Compose容器编排与私有仓库（Docker技术集群与应用）

本文介绍了Docker的三大工具：Docker Machine用于创建和管理Docker主机，Docker Compose用于单引擎模式下的多容器应用部署和管理，而Docker Swarm则是一个集群管理工具，提供微服务应用编排功能。Docker Machine支持在不同环境配置Do…
阅读更多...
【代码随想录训练营第42期 Day56打卡 - 图论Part6 - 并查集2 - 冗余连接问题

【代码随想录训练营第42期 Day56打卡 - 图论Part6 - 并查集2 - 冗余连接问题

目录 一、做题心得 二、题目与题解 题目一：108. 冗余连接 题目链接 题解：并查集 题目二：109. 冗余连接II 题目链接 题解：并查集 三、小结 一、做题心得 冗杂连接问题是图论章节应用并查集的经典问题。所有的顶点通过边相…
阅读更多...
Redis 篇- 实战项目中使用 Redis 实现经典功能（异步秒杀商品、点赞功能、共同关注的好友、投喂功能）

Redis 篇- 实战项目中使用 Redis 实现经典功能（异步秒杀商品、点赞功能、共同关注的好友、投喂功能）

🔥博客主页： 【小扳_-CSDN博客】 ❤感谢大家点赞👍收藏⭐评论✍ 文章目录 1.0 使用 Redis 实现异步秒杀 1.1 基于 Lua 脚本判断是否符合条件：库存是否充足、一人一单 1.2 基于 Redis 中的 Stream 实现消息队列 1.3 使用 Java 操作…
阅读更多...
Unity Hub自动安装指定版本Unity的Android开发环境

Unity Hub自动安装指定版本Unity的Android开发环境

Unity开发Android环境要求SDK、DNK、JDK、Gradle版本都要对才能发布APK，自己去配置很容易出错。Unity Hub可以自动安装指定版本Unity的Android开发环境。 1.安装国内用的UnityHub（我这里用的3.3.2-c6） 2.找到对应的Unity版本 3.点击【从Unit…
阅读更多...
docker管理redis集群

docker管理redis集群

1.拉取redis镜像 docker pull redis拉取完成 [rootlocalhost ~]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE redis latest a617c1c92774 3 years ago 105MB2.运行redis容器 docker run -itd --name redis-test01 -p 6379:6379…
阅读更多...
谈谈PCIe VID、DID、SSID、SSVID背后的智慧

谈谈PCIe VID、DID、SSID、SSVID背后的智慧

PCIe Vendor ID 想了半天还是觉得从“ID是什么”这个问题开始比较好。那么ID是什么？ID就是身份。那身份又是什么？身份就是一个合理存在，用于区分不同个体。为什么叫“合理存在”呢？如果国家不给你发身份证，你就是黑户…
阅读更多...
记一次导入dbf文件后数据为空问题的解决方法

记一次导入dbf文件后数据为空问题的解决方法

前言 省流：这篇文章最终采用的是更换导出文件格式的方法，看到这里觉得方法不适用的小伙伴可以不用浪费几秒钟看完这篇文章哦。 问题描述 作者使用的是Navicat数据库管理工具，然后在将源数据库的数据表导出为dbf格式文件后，再将…
阅读更多...
F110批量付款如何Debug BTE增强（后台JOB的调试方法）

F110批量付款如何Debug BTE增强（后台JOB的调试方法）

F110批量付款如何Debug BTE增强（后台JOB的调试方法） SAP系统中的F110（Automatic Payment）是一个常用的付款程序，在实施过程中，也经常会遇到一些运行的错误，而对于此类的错误，通常的…
阅读更多...
基于SpringBoot的租房网站系统

基于SpringBoot的租房网站系统

你好呀，我是计算机学姐码农小野！如果有相关需求，可以私信联系我。 开发语言：Java 数据库：MySQL 技术：SpringBoot框架 工具：ECLIPSE 系统展示 首页 管理员功能界面 用户信息界面 预约看房界…
阅读更多...
动手学深度学习（pytorch）学习记录28-使用块的网络(VGG)[学习记录]

动手学深度学习（pytorch）学习记录28-使用块的网络(VGG)[学习记录]

目录 VGG块VGG网络训练模型 VGG块 定义了一个名为vgg_block的函数来实现一个VGG块 import torch from torch import nn from d2l import torch as d2ldef vgg_block(num_convs, in_channels, out_channels):layers []for _ in range(num_convs):layers.append(nn.Conv2d(in_…
阅读更多...
线程池原理及改造

线程池原理及改造

目录 一 线程池执行原理 二 线程池改造(一) 三 线程池改造(二) 一 线程池执行原理 首先我们先了解一下线程池里面几个参数： 第一个是核心线程数，第二个是线程池最大线程数。（线程池里面的线程分为核心线程和非核心线程，既然核心…
阅读更多...
人物化身持有者每月奖励：九月版

人物化身持有者每月奖励：九月版

世界急需英雄。你准备好响应号召了吗？ 穿上你的斗篷，戴上你的面具，用你的风格保卫 The Sandbox 的街道吧！本月为人物化身持有者准备的独家奖励是 The Sandbox 超级套装！ 本月我们将首次向我们生态系统中的所有人物化…
阅读更多...
Vulnhub-RickdiculouslyEasy靶机攻略

Vulnhub-RickdiculouslyEasy靶机攻略

御剑扫描到ip 一.第一个flag 主机扫描 目录扫描 二.网页信息收集-第二个flag 9090也开放了web服务所以我们在IP地址后面加端口试试，如下图，加上了端口，并且发现了第二个flag，也对第二个flag进行了简单的探索也没有发现什么可以…
阅读更多...
Kubernetes上安装Metallb和Ingress并部署应用程序

Kubernetes上安装Metallb和Ingress并部署应用程序

视频和代码仓库 视频教程地址：https://www.bilibili.com/video/BV1QV4rebEb8 代码仓库地址：https://github.com/xiaohh-me/kubernetes-yaml 网络规划 之前已经写了几篇安装Kubernetes文章，这次来讲讲在Kubernetes上安装Ingress&#xff0c…
阅读更多...
【Linux】Linux介绍及CentOS虚拟机环境搭建

【Linux】Linux介绍及CentOS虚拟机环境搭建

内容大纲介绍 文章目录 内容大纲介绍1.计算机简介2.Linux系统介绍3.虚拟化软件介绍4.Linux环境搭建5.扩展_虚拟机的快照6.Linux的目录介绍 1.计算机简介 概述 全称叫电子计算机, 英文名叫Computer, 俗称叫: 电脑, 简称叫: PC, 就是有硬件和软件组成的电子设备. 组成 计算机硬件…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023