利用iptables实现端口转发

我不是女神ヾ 2022-10-07 01:00 459阅读 0赞

### 文章目录 ###

*  1. 前置知识
 *   *  1.1 iptables
 *  2. 实现
 *   *  2.1 本地端口转发
     *  2.2 分流
     *  2.3 远程端口转发
 *  参考文章

# 1. 前置知识 #

`端口转发条件：机器的root权限`  
`远程转发的时候，机器需要有外网ip`

## 1.1 iptables ##

下图简要描述了网络数据包通过 iptables 的过程：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

iptables有很多表：  
![在这里插入图片描述][2021061514573560.png]  
具体区别如下：  
![在这里插入图片描述][20210615145853214.png]  
默认情况下修改的是filter表，如果我们想修改其他表，必须加上参数-t，由于我们今天讲的是端口转发，因此修改的会是nat表。

nat表由postrouting，output，prerouting三条链组成，我们说是修改nat表，其实修改的是链，链的具体属性如下：

PREROUTING链的作用是在包刚刚到达防火墙时改变它的目的地址，是从外部连接过来时的转发
    OUTPUT链改变本地产生的包的目的地址，是本机连接时的转发
    POSTROUTING链在包就要离开防火墙之前改变其源地址

# 2. 实现 #

1.修改配置文件，使iptables允许ipv4转发：

vim /etc/sysctl.conf #可以直接进文件修改
    sysctl -w net.ipv4.ip_forward=1 #也可以用这条命令直接修改
    sysctl -p #查看修改结果

![在这里插入图片描述][20210615144756421.png]  
![在这里插入图片描述][20210615144933310.png]

## 2.1 本地端口转发 ##

将`外网访问`本地的4444端口的流量转发到本地的22端口：

iptables -t nat -A PREROUTING -p tcp --dport 4444 -j REDIRECT --to-ports 22

将`本地访问`本地的4444端口的流量转发到本地的6666端口：

iptables -t nat -A OUTPUT -p tcp --dport 4444 -j REDIRECT --to-ports 22

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

## 2.2 分流 ##

通过PREROUTING链，将172.16.250.1网段访问4444端口的包转发到本机22端口，其他网段则正常访问4444端口，MASQUERADE类似于SNAT，只是不用写源地址。

iptables -t nat -A PREROUTING --source 172.16.250.1 -p tcp --dport 4444 -j DNAT --to-destination 172.16.250.3:22
    iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE
    iptables -t nat -A POSTROUTING --dst 172.16.250.3 -p tcp --dport 22 -j MASQUERADE

## 2.3 远程端口转发 ##

假设我们有三个资产，主机a，b，c：

例如将访问当前端口5555的流量转发到远程主机的22端口上，举例，a主机访问b主机的5555端口，实际访问的是远程主机c的22端口，以下命令均在主机b上执行：

1.修改所有发入主机b的数据包中目标地址为172.16.250.3，端口为5555的数据包，将其目标地址修改为  
172.16.250.4，端口改为22:

iptables -t nat -A PREROUTING --dst 172.16.250.3 -p tcp --dport 5555 -j DNAT --to-destination 172.16.250.4:22

2.当数据包离开主机b的时候，修改所有目标地址为172.16.250.4:22的数据包的源地址为172.16.250.3

iptables -t nat -A POSTROUTING --dst 172.16.250.4 -p tcp --dport 22 -j SNAT --to-source 172.16.250.3

删除2号规则：

iptables -t nat -nL --line #查看已有规则
    iptables -t nat -D PREROUTING 2

# 参考文章 #

[iptables][]  
[内网穿透——iptables端口转发][iptables 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221005/4b6808b4920f4856b2d3aed37e897cb6.png
[2021061514573560.png]: /images/20221005/92a4e0ab04d8448ca9f972ac06ab85fa.png
[20210615145853214.png]: /images/20221005/369653737d05445fa5ae1b5c2e8bb8f1.png
[20210615144756421.png]: /images/20221005/4509c96d0fbd411a9fa0bf9068bb9eef.png
[20210615144933310.png]: /images/20221005/2c25fb581c97405fb213c30bb21db896.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221005/6757d1beac724d15a5e433c9e23c56a1.png
[iptables]: https://wiki.archlinux.org/title/iptables_%28%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87%29
[iptables 1]: https://mp.weixin.qq.com/s/QOfORsSIcxuRXFj1xkUFcA