firewalld(7)NAT、端口转发
简介
在前面的文章中已经介绍了firewalld了zone、rich rule等规则设置，并且在iptables的文章中我们介绍了网络防火墙、还有iptables的target,包括SNAT、DNAT、MASQUERADE、REDIRECT的原理和配置。那么在这篇文章中，将继续介绍在firewalld中的NAT的相关配置使用。
实验环境
在配置NAT之前要确保我们的系统已经开启了IP转发功能，我在iptables配置部分已经开启了IP转发功能。开启方式如下
若要永久性地开启内核转发，可以编辑 /etc/sysctl.conf 文件并确保 net.ipv4.ip_forward 的值为 1。然后运行下面的命令使其生效
sysctl -p
SNAT
SNAT（Source Network Address Translation，源网络地址转换）是一种网络地址转换（NAT）技术，它用于在数据包离开本地网络（通常是私有网络）并发送到外部网络（如互联网）时，改变数据包的源IP地址。SNAT允许一个或多个内部（私有）IP地址被映射到一个或多个外部（公共）IP地址上，这样外部网络就只能看到转换后的公共IP地址，而无法直接看到原始的内部IP地址。
配置基本SNAT基于masquerade
测试
我们在配置masquerade的时候并不能手动指定转换的源IP地址，那么如果需要手动指定源IP地址呢？就和我们配置iptables的时候一样，可以直接配置SNAT指定出口地址。那么就需要使用--direct的方式来配置了。
配置--direct的SNAT
由于我们已经将firewalld的后端配置为iptables了，当我们使用--direct时，其实就是配置的是iptables。和我们iptables中的策略方式是一样的
测试：
DNAT
DNAT（Destination Network Address Translation，目标网络地址转换），它用于将到达NAT设备（如防火墙、路由器）的流量的目标IP地址从一个地址转换为另一个地址。在DNAT场景中，外部网络（或称为“公共”网络）上的设备尝试访问NAT设备上的某个IP地址（通常是NAT设备的外部IP地址或公共IP地址），但实际上，这些流量被重定向到NAT设备后面的内部网络（或称为“私有”网络）上的某个设备。
配置DNAT
firewall-cmd --permanent --zone=<ZONE> --add-forward-port=port=<PORTNUMBER>:proto=<PROTOCOL>[:toport=<PORTNUMBER>][:toaddr=<IPADDR>]
测试
配置DNAT基于rich rule
rich rule中关于DNAT配置的相关参数如下
forward-port port=<PORTNUM> protocol=tcp|udp [to-port=<PORTNUM>] [to-addr=<ADDRESS>]
测试
REDIRECT
可以使用重定向机制使内部运行在非标准端口上的 如Web 服务可以访问，而无需用户在 URL 中指定端口。因此，URL 更简单，提供更好的浏览体验，而非标准端口仍然在内部使用或用于特定的要求。
例如我本机开启了一个服务是2017端口的，但是我对外发布的时的端口可能是443或者80，我这里用8080来举例，那么用户只需要访问我对应的8080端口就可以直接访问到我内部的2017端口。这个和DNAT的端口转换机制相似。
配置REDIRECT
firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent
测试
同样的我们也可以通过rich rule 方式配置
配置REDIRECT rich rule方式
测试
总结
本篇文章我们介绍了firewall中配置NAT的方式，更加详细的配置方式和原理可以参考前面iptables中NAT相关的文章iptables(11)target(SNAT、DNAT、MASQUERADE、REDIRECT)
原文地址：https://blog.csdn.net/weixin_42064802/article/details/140122489
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！