SNAT转发（代理内网机器上网）

案例1

内网机器B 通过网关A访问百度，设置如下：

网关A配置两个IP

​ 公网ip IP：192.168.1.189/24 内网IP：1.1.1.1/24

开启路由

写入配置文件永久生效

echo 'net.ipv4.ip_forward=1' > /etc/sysctl.conf

强制刷新配置文件，使其生效

sysctl -p

防火墙设置（主要在POSTROUTING链上设置）

将流经网关的数据包的源地址改为192.168.1.189

iptables -t nat -A POSTROUTING -s 1.1.1.0/24 -j SNAT --to-source 192.168.1.189

保存防火墙规则到配置文件，不然下次重启就失效了。

iptables-save > /etc/sysconfig/iptables

内网机器配置 IP1.1.1.2/24

测试

补充：

1，指定数据包流出的网卡，执行。（流出的网卡必需是配有公网IP的网卡）

iptables -t nat -A POSTROUTING -o ens33 -s 1.1.1.0/24 -j SNAT --to-source 192.168.1.189

2，如果网关的IP是一个动态IP, 执行

iptables -t nat -A POSTROUTING -s 1.1.1.0/24 -j MASQUERADE

3,若果要从指定的端口转发出去，执行

iptables -t nat -A POSTROUTING -s 1.1.1.0/24 -j MASQUERADE --to-ports 80-1000

iptables -t nat -A POSTROUTING -s 1.1.1.0/24 -p udp -j MASQUERADE --to-ports 80-1000

这是不明智的选择，指定端口前必需指定使用的协议，所以最好别这样做。

但是使用随机端口是可以的，这也是默认的。

iptables -t nat -A POSTROUTING -s 1.1.1.0/24 -j MASQUERADE --random

DNAT转发（将流入网关的数据包发给内网主机处理）

网关A配置两个IP

​ 公网ip IP：192.168.1.189/24 内网IP：1.1.1.1/24

网关A开启路由

写入配置文件永久生效

echo \'net.ipv4.ip_forward=1\' > /etc/sysctl.conf

强制刷新配置文件，使其生效

sysctl -p

网关防火墙设置(主要在PREROUTING链上设置)

利用iptables将目的地址为192.168.1.189的80端口的数据包更改目的地址为内网机器的IP1.1.1.2，目的端口为80.

iptables -t nat -A PREROUTING -d 192.168.1.189 -p tcp --dport 80 -j DNAT --to-destination 1.1.1.2:80

也可以将网关的所有流量转发到内网主机(并不推荐这样做，除非特殊情况)

iptables -t nat -A PREROUTING -d 192.168.1.189 -j DNAT --to-destination 1.1.1.2

保存防火墙规则到配置文件，不然下次重启就失效了。

iptables-save > /etc/sysconfig/iptables

内网机器配置 IP1.1.1.2/24，并安装httpd服务

在客户端测试

总结：

1，NAT功能主要是玩的iptables的NAT表。

2，代理内网机器上网，需要设置的是POSTROUTING链

3，转发外网端口流量则是设置PREROUTING链