LINUX IPTABLES端口映射设置

LINUXIPTABLES 端口映射设置

iptables 端口映射设置如下：

设我们有一台计算机, 有两块网卡,eth0 连外网,ip 为1.2.3.4;eth1 连内网,ip 为192.168.0.1. 现在需要把发往地址1.2.3.4 的81 端口的ip 包转发到ip 地址192.168.0.2 的8180 端口, 设置如下:

1. iptables -tnat -A PREROUTING -d 1.2.3.4 -p tcp -m tcp –dport 81 -j DNAT–to-destination192.168.0.2:8180

2. iptables -tnat -A POSTROUTING -s 192.168.0.0/255.255.0.0 -d 192.168.0.2 -p tcp -m tcp–dport 8180 -j SNAT –to-source 192.168.0.1

真实的传输过程如下所示:

假设某客户机的ip 地址为6.7.8.9, 它使用本机的1080 端口连接1.2.3.4 的81 端口, 发出的ip 包源地址为6.7.8.9, 源端口为1080, 目的地址为1.2.3.4, 目的端口为81.

主机1.2.3.4 接收到这个包后, 根据nat 表的第一条规则, 将该ip 包的目的地址更该为192.168.0.2, 目的端口更该为8180, 同时在连接跟踪表中创建一个条目,( 可从/proc/net/ip_conntrack 文件中看到), 然后发送到路由模块, 通过查路由表, 确定该ip 包应发送到eth1 接口. 在向eth1 接口发送该ip 包之前, 根据nat 表的第二条规则, 如果该ip 包来自同一子网, 则将该ip 包的源地址更该为192.168.0.1, 同时更新该连接跟踪表中的相应条目, 然后送到eth1 接口发出.

此时连接跟踪表中有一项:

连接进入: src=6.7.8.9dst=1.2.3.4 sport=1080 dport=81

连接返回: src=192.168.0.2dst=6.7.8.9 sport=8180 dport=1080

是否使用: use=1

而从192.168.0.2 发回的ip 包, 源端口为8180, 目的地址为6.7.8.9, 目的端口为1080, 主机1.2.3.4 的TCP/IP 栈接收到该ip 包后, 由核心查找连接跟踪表中的连接返回栏目中是否有同样源和目的地址和端口的匹配项, 找到后, 根据条目中的记录将ip 包的源地址由192.168.0.2 更该为1.2.3.4, 源端口由8180 更该为81, 保持目的端口号1080 不变. 这样服务器的返回包就可以正确的返回发起连接的客户机, 通讯就这样开始.

还有一点, 在filter 表中还应该允许从eth0 连接192.168.0.2 地址的8180 端口:

iptables -AINPUT -d 192.168.0.2 -p tcp -m tcp –dport 8180 -i eth0 -j ACCEPT

通过上面的例子，我们就知道iptables 端口映射设置其实不难！

原文:http://1230tt.com/archives/222.html