Question

iptables映射端口具体操作

我在虚拟机上配置了LINUX系统。想通过iptables映射80端口。。让外网WEB可访问到。。。请问具体操作怎么做。。别告诉我。。自己BAIDU、、给出具体操作。加分！！！！！

Answer 1

用iptable完成端口映射
问：一局域网192.168.1.0/24，有web和ftp服务器192.168.1.10、192.168.1.11,网关linux，内网eth0，IP为192.168.1.1，外网eth1，IP为a.b.c.d，怎样作NAT能使内外网都能访问公司的服务器？ 答：# web # 用DNAT作端口映射 iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10 # 用SNAT作源地址转换（关键），以使回应包能正确返回 iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1 # 一些人经常忘了打开FORWARD链的相关端口，特此增加 iptables -A FORWARD -o eth0 -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -i eth0 -s 192.168.1.10 -p tcp --sport 80 -m --state ESTABLISHED -j ACCEPT # ftp modprobe ip_nat_ftp ###加载ip_nat_ftp模块（若没有编译进内核），以使ftp能被正确NAT modprobe ip_conntrack_ftp ###加载ip_conntrack_ftp模块 # 用DNAT作端口映射 iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 21 -j DNAT --to 192.168.1.11 iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 21 -j ACCEPT iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 21 -m --state ESTABLISHED -j ACCEPT iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 20 -m --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 20 -m --state ESTABLISHED -j ACCEPT iptables -A FORWARD -o eth0 -d 192.168.1.11 -p tcp --dport 1024: -m --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i eth0 -s 192.168.1.11 -p tcp --sport 1024: -m --state ESTABLISHED -j ACCEPT # 用SNAT作源地址转换（关键），以使回应包能正确返回 iptables -t nat -A POSTROUTING -d 192.168.1.11 -p tcp --dport 21 -i eth0 -j SNAT --to 192.168.1.1 问：网络环境如上一问题，还在网关上用squid进行透明代理，也作了SNAT了，为什么内网还是不能访问公司的web服务器?iptables如下： iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128 iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10 iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1 答：问题主要在PREROUTING链中REDIRECT和DNAT的顺序，由于先进行了REDIRECT（重定向），则到第二句DNAT时，端口已变为3128，不匹配第二句的目的端口80，DNAT也就不会执行，不能到达正确的目的地。解决的办法有两个： 1、把REDIRECT语句放到DNAT语句的后面，如下： iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10 iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128 2、在REDIRECT语句中增加匹配目的地址"-d ! a.b.c.d"，如下： iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d ! a.b.c.d -p tcp --dport 80 -i eth0 -j REDIRECT --to 3128

Answer 2

楼上的大哥不要误人子弟啊 你那个东西就80端口好使 其他都废 我朋友用过
一个简单的应用：我的机器IP是192.168.1.240，期望访问另一个局域网的web服务器其IP为192.168.0.109，中间有台双网卡的服务器用来做透明代理，该服务器eth0为192.168.1.2，eth1为192.168.0.2。
首先需要将到达192.168.1.2:80的包顺利转给192.168.0.109，因此有了下面的DNAT：
iptables -t nat -A PREROUTING -s 192.168.1.0/24 -d 192.168.1.2 -p tcp --dport 80 -j DNAT --to 192.168.0.109:80
乍一看这应该没什么问题了，可是接下来问题是发现我的包是到0.109了，可是我的机器与0.109仍然无法正常通信，原来是到达0.109的源地址仍然是1.240，0.109回包的时候当然无法直接给1.240了，接下来就是SNAT的事了：
iptables -t nat -A POSTROUTING -d 192.168.0.109 --dport 80 -o eth1 -j SNAT --to 192.168.0.2
当然别忘了echo 1 > /proc/sys/net/ipv4/ip_forward，最好连/etc/sysctl.conf里的net.ipv4.ip_forward=1一并加上。。。

Answer 3

/sbin/iptables -t nat -A PREROUTING -d xxx.xxx.xxx.xxx -p tcp --dport 80 -j DNAT --to-destination 192.168.0.62:80 /sbin/iptables -A FORWARD -p tcp -d 192.168.0.62 --dport 80 -j ACCEPT

其中XXX.XXX.XXX.XXX换成你外网IP