在Red Hat Linux7配置NAT.docVIP

PAGE PAGE 19在Red Hat Linux 7.3上配置NAT和封包过滤防火墙?本文档最后更新于：2003年6月7日 5时5分?实际工作中我们会有这样的需求：让多台计算机/局域网共享一条线路访问Internet，要实现这项功能通常有两种方法：?????????? 使用NAT（Network Address Translation）????????? 架设代理服务器（Proxy Server）?一个典型的应用环境如下图所示：图中我们把网络划分为两个区域：Private区和Internet区。对外提供服务的Internet服务器也放在Private区，和局域网其它主机使用同一网段地址（当然，也可以不单独设Internet服务器而在接入服务器上安装Internet服务）。Linux接入服务器就是我们下面工作的重点，它负责带动局域网内的主机访问Internet，并保护局域网内的主机和服务器不受来自Internet的攻击。?为方便后面的脚本编写，首先来明确几个必要的参数。Linux接入服务器上面向Internet的网卡eth0配置如下，这些数据是从ISP那里得到的：IP地址 14（只有一个公网IP地址，这么少？足够了）子网掩码 92网关地址 26DNS服务器 8局域网内的IP地址是/，我们在局域网内部安装了Internet服务器，地址为，通过设置Linux接入服务器上的安全规则使它可以对外提供www、smtp、pop3等服务。Linux接入服务器上面向Private的网卡是eth1，其IP地址为：IP地址 54。?在接入Internet时，直接连接到Internet上的计算机是安全问题的焦点。无论是一台计算机还是由计算机连接起来的局域网（LAN），其焦点都是与Internet直接相连的机器（或设备），这台机器按照其功能人们通常称之为Internet网关、防火墙或代理服务器，我习惯于称它为Internet接入服务器。?作为接入服务器：我们希望我们的局域网可以共享我们的Internet连接，并且根据实际情况的需要，控制局域网内主机或用户能否通过这个网关自由或有限的访问Internet。如果局域网访问Internet的流量较大，使用频繁，我们还希望这台主机能够实现各种缓存功能（DNS缓存、WEB缓存），以减少流量和加快访问速度。?作为防火墙：我们在局域网内运行着本地私有服务，诸如共享打印机或共享文件系统，我们希望这些服务仅在局域网内有效，或者某些服务可以公开到Internet上，这可以通过设置相应的安全策略来实现。?图中的Linux接入服务器所实现的就是我们常说的代理服务器/防火墙。局域网内的终端通过Linux服务器来访问Internet，Linux 服务器是局域网和Internet连接之间的一个网关（Gateway），这时所有对Internet的访问都会经过Linux服务器。?从共享上网的功能来看，NAT的优点是局域网用户通过NAT方式上网时客户端不需要作任何的特殊设置，就和直接使用公网IP地址上网没什么区别；而Proxy则更方便对用户进行权限控制，并且还可以实现访问内容的本地缓存，以此加快访问速度以及内容过滤等等。?NAT和Proxy在Linux上的实现是Linux的典型应用之一，并且还可以结合NAT和Proxy配置透明代理（Transparent Proxy），实现两者的完美结合。本文就来介绍一下Linux NAT和封包过滤（Packet Filtering）防火墙。??§§　安装iptables?开始之前有必要了解一下Linux内核对NAT、防火墙功能支持的历史，Linux内核在不同的版本使用不同的系统来实现这些功能：Linux 2.0内核使用ipfwadm实现，实际应用中2.0版的内核已经不太常见了；Linux 2.2内核使用ipchains实现，我的主页上摘录了一篇相当棒的关于ipchains的教程，正在使用Linux 2.2版内核的朋友可以阅读参考： HYPERLINK /ipchains/0.htm /ipchains/0.htm；Red Hat Linux 7.3使用的是2.4版内核，Linux 2.4内核实现这部分功能的机制是netfilter和iptables，这个系统可以完成封包过滤（packet filtering）、网络地址转换NAT（network address translation）以及其它对数据包（packet）的操作。?netfilter是Linux 2.4.x内核内嵌的功能，由它实现对流经它的数据包的处理，iptables则被定义成一个规则表格，用来描述如何对封包进行处理。netfilter、iptables、连接跟踪、以及NAT功能共同组成了Linux 2.4.x内核的网络安全体系。