设我们有一台计算机,有两块网卡,eth0连外网,ip为219.153.42.222;eth1连内网,ip为192.168.0.100.现在需要把发往地址219.153.42.222的80端口的ip包转发到ip地址192.168.0.101的8080端口,设置如下:
1. iptables -t nat -A PREROUTING -d 219.153.42.222 -p tcp -m tcp –dport 80 -j DNAT –to-destination192.168.0.101:8080
2. iptables -t nat -A POSTROUTING -s 0.0.0.0/0 -d 192.168.0.101 -p tcp -m tcp –dport 8080 -j SNAT –to-source 192.168.0.100
真实的传输过程如下所示:
假设某客户机的ip地址为6.7.8.9,它使用本机的1080端口连接219.153.42.222的80端口,发出的ip包源地址为6.7.8.9,源端口为1080,目的地址为219.153.42.222,目的端口为80.
主机219.153.42.222接收到这个包后,根据nat表的第一条规则,将该ip包的目的地址更该为192.168.0.101,目的端口更该为8080,同时在连 接跟踪表中创建一个条目,(可从/proc/net/ip_conntrack文件中看到),然后发送到路由模块,通过查路由表,确定该ip包应发送到 eth1接口.在向eth1接口发送该ip包之前,根据nat表的第二条规则,如果该ip包来自同一子网,则将该ip包的源地址更该为 192.168.0.1,同时更新该连接跟踪表中的相应条目,然后送到eth1接口发出.
此时连接跟踪表中有一项:
连接进入: src=6.7.8.9 dst=219.153.42.222 sport=1080 dport=80
连接返回: src=192.168.0.101 dst=6.7.8.9 sport=8080 dport=1080
是否使用: use=1
而从192.168.0.101发回的ip包,源端口为8080,目的地址为6.7.8.9,目的端口为1080,主机219.153.42.222的TCP/IP栈接收 到该ip包后,由核心查找连接跟踪表中的连接返回栏目中是否有同样源和目的地址和端口的匹配项,找到后,根据条目中的记录将ip包的源地址由 192.168.0.101更该为219.153.42.222, 源端口由8180更该为81,保持目的端口号1080不变.这样服务器的返回包就可以正确的返回发起连接的客户机,通讯就这样开始.
还有一点, 在filter表中还应该允许从eth0连接192.168.0.101地址的8080端口:
iptables -A INPUT -d 192.168.0.101 -p tcp -m tcp –dport 8080 -i eth0 -j ACCEPT
转载请注明：LINUX服务器运维架构技术分享 » iptables 端口映射设置