上传文件至 'iptables'

This commit is contained in:
diandian 2023-09-14 13:08:43 +08:00
parent 7b56644878
commit bf90ec5a6a
2 changed files with 667 additions and 0 deletions

View File

@ -0,0 +1,352 @@
<h1><center>企业级防火墙技术Firewalld</center></h1>
------
**作者:行癫(盗版必究)**
## 一Firewalld简介
7中默认将原来的防火墙iptables升级为了firewalldfirewalld跟iptables比起来至少有两大好处
firewalld可以动态修改单条规则而不需要像iptables那样在修改了规则后必须得全部刷新才可以生效
firewalld在使用上要比iptables人性化很多即使不明白“四张表五条链”而且对TCP/IP协议也不理解也可以实现大部分功能
#### 1.目录结构
firewalld的配置文件以xml格式为主主配置文件firewalld.conf例外有两个存储位置
/etc/firewalld/
/usr/lib/firewalld/
使用规则
当需要一个文件时firewalld会首先到第一个目录中去查找如果可以找到那么就直接使用否则会继续到第二个目录中查找
注意
两个目录下的同名配置文件第一个目录内的生效
第二个目录中存放的是firewalld给提供的通用配置文件如果我们想修改配置 那么可以copy一份到第一个目录中
当然也可以直接修改第二个目录下的文件
#### 2.相关命令
查看服务状态
```shell
[root@xingdian~ ]# systemctl status firewalld
[root@xingdian~ ]# systemctl status -l firewalld
```
启动关闭服务
```shell
[root@xingdian~ ]# systemctl start firewalld
[root@xingdian~ ]# systemctl stop firewalld
[root@xingdian~ ]# systemctl reload firewalld
[root@xingdian~ ]# systemctl disable firewalld
```
## 二Firewalld之Zone
firewalld默认提供了九个zone配置文件block.xml、dmz.xml、drop.xml、external.xml、 home.xml、internal.xml、public.xml、trusted.xml、work.xml他们都保存在“/usr/lib /firewalld/zones/”目录下九个zone其实就是九种方案而且起决定作用的其实是每个xml文件所包含的内容而不是文件名所以不需要对每种zone每个文件名的含义花费过多的精力比如trusted这个zone会信任所有的数据包也就是说所有数据包都会放行但是public这个zone只会放行其中所配置的服务其他的一律不予放行其实我们如果将这两个文件中的内容互换一下他们的规则就换过来了也就是public这个zone会放行所有的数据包
注意:
生效的只有默认zone里面的规则
trusted.xml中zone的target就是因为他设置为了ACCEPT所以才会放行所有的数据包
而 public.xml中的zone没有target属性这样就会默认拒绝通过所以public这个zone只有其中配置过的服务才可以通过
#### 1.drop丢弃
任何接收的网络数据包都被丢弃,没有任何回复。仅能有发送出去的网络连接
#### 2.block限制
任何接收的网络连接都被 IPv4 的 icmp-host-prohibited 信息和 IPv6 的 icmp6-adm-prohibited 信息所拒绝
#### 3.public公共
在公共区域内使用,不能相信网络内的其他计算机不会对您的计算机造成危害,只能接收经过选取的连接
#### 4.external外部
是为路由器启用了伪装功能的外部网。不信任来自网络的其他计算,不相信它们不会对您的计算机造成危害,只接收经过选择的连接
#### 5.dmz非军事区
用于您的非军事区内的电脑,此区域内可公开访问,可以有限地进入您的内部网络,仅仅接收经过选择的连接
#### 6.work工作
用于工作区。您可以基本相信网络内的其他电脑不会危害您的电脑。仅仅接收经过选择的连接
#### 7.home家庭
用于家庭网络。您可以基本信任网络内的其他计算机不会危害您的计算机。仅仅接收经过选择的连接
#### 8.internal内部
用于内部网络。您可以基本上信任网络内的其他计算机不会威胁您的计算机。仅仅接受经过选择的连接
#### 9.trusted信任
可接受所有的网络连接
## 三:规则配置
#### 1.方式
firewall-config图形方式
firewall-cmd命令行方式
直接编辑xml文件
#### 2.命令行方式
```shell
显示防火墙状态:
[root@xingdian~ ]# firewall-cmd --state
running
列出当前有几个zone
[root@xingdian~ ]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
取得当前活动的zones
[root@xingdian~ ]# firewall-cmd --get-active-zones
public
interfaces: ens33
设置当前区域的接口:
[root@xingdian~ ]# firewall-cmd --get-zone-of-interface=enp03s
临时修改网络接口enp0s3为内部区域internal
[root@xingdian~ ]#firewall-cmd --zone=internal --change-interface=enp03s
取得默认的zone
[root@xingdian~ ]# firewall-cmd --get-default-zone
public
设置默认zone:
[root@xingdian~ ]# firewall-cmd --set-default-zone=public
取得当前支持的service跟当前服务器是否已经安装某服务无关
[root@xingdian~ ]# firewall-cmd --get-services
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client ceph ceph-mon dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mosh mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster radius rpc-bind rsyncd samba samba-client sane smtp smtps snmp snmptrap squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
检查下一次重载后将激活的服务:
[root@xingdian~ ]# firewall-cmd --get-service --permanent
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client ceph ceph-mon dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mosh mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster radius rpc-bind rsyncd samba samba-client sane smtp smtps snmp snmptrap squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server
列出zone public 端口:
[root@xingdian~ ]# firewall-cmd --zone=public --list-ports
列出zone public当前设置
[root@xingdian~ ]# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eno16777736
sources:
services: dhcpv6-client ssh
ports:
masquerade: no 伪装功能
forward-ports:
icmp-blocks:
rich rules:
增加zone public开放http service
[root@xingdian~ ]# firewall-cmd --zone=public --add-service=http
success
[root@xingdian~ ]# firewall-cmd --permanent --zone=internal --add-service=http
success
--permanent 永久生效
重新加载配置:
[root@xingdian~ ]# firewall-cmd --reload
success
增加zone internal开放443/tcp协议端口:
[root@xingdian~ ]# firewall-cmd --zone=internal --add-port=443/tcp
success
删除zone public 中ssh服务
[root@xingdian~ ]# firewall-cmd --zone=public --remove-service=ssh
列出zone internal的所有service:
[root@xingdian~ ]# firewall-cmd --zone=internal --list-services
dhcpv6-client ipp-client mdns samba-client ssh
设置黑/白名单: (hosts.allow hosts.deny)
增加172.28.129.0/24网段到zone trusted信任
[root@xingdian~ ]# firewall-cmd --permanent --zone=trusted --add-source=172.28.129.0/24
success
add-sourc
列出zone truste的白名单:
[root@xingdian~ ]# firewall-cmd --permanent --zone=trusted --list-sources
172.28.129.0/24
活动的zone:
[root@xingdian~ ]# firewall-cmd --get-active-zones
public
interfaces: eno16777736
添加zone truste后重新加载然后查看--get-active-zones:
[root@xingdian~ ]# firewall-cmd --reload
success
[root@xingdian~ ]# firewall-cmd --get-active-zones
public
interfaces: ens32 veth4103622
trusted
sources: 172.28.129.0/24
列出zone drop所有规则:
[root@xingdian~ ]# firewall-cmd --zone=drop --list-all
drop
interfaces:
sources:
services:
ports:
masquerade: no
forward-ports:
icmp-blocks:
rich rules:
添加172.28.13.0/24到zone drop:
[root@xingdian~ ]# firewall-cmd --permanent --zone=drop --add-source=172.28.13.0/24
success
添加后需要重新加载:
[root@xingdian~ ]# firewall-cmd --reload
success
[root@xingdian~ ]# firewall-cmd --zone=drop --list-all
drop
interfaces:
sources: 172.28.13.0/24
services:
ports:
masquerade: no
forward-ports:
icmp-blocks:
rich rules:
[root@xingdian~ ]#firewall-cmd --reload
success
从zone drop中删除172.28.13.0/24:
[root@xingdian~ ]# firewall-cmd --permanent --zone=drop --remove-source=172.28.13.0/24
success
查看所有的zones规则:
[root@xingdian~ ]# firewall-cmd --list-all-zones
案例:
比如我当前的默认zone是public需要开放80端口对外访问则执行如下命令
[root@xingdian~ ]# firewall-cmd --zone=public --permanent --add-port=80/tcp
success
[root@xingdian~ ]# firewall-cmd --reload
success
```
#### 3.修改配置文件
```xml
以public zone为例对应的配置文件是/etc/firewalld/zones/public.xml像我们刚刚添加80端口后体现在public.xml 中的内容为:
[root@xingdian~ ]# cat public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
<service name="dhcpv6-client"/>
<service name="ssh"/>--reload 或重
<port protocol="tcp" port="80"/>
</zone>
注意在修改配置文件后 --reload 或重启 firewall 服务。
```
## 四:高级规则
#### 1.Direct Rules概述
通过firewall-cmd工具可以使用 --direct选项在运行时间里增加和删除链。如果不熟悉iptables使用直接接口非常危险因为可能无意间导致防火墙被入侵。直接端口模式适用于服务或者程序以便于在运行时间内增加特定的防火墙规则。直接端口模式添加的规则优先应用
```shell
Direct Options
The direct options give a more direct access to the firewall. These options
require user to know basic iptables concepts, i.e. table
(filter/mangle/nat/...), chain (INPUT/OUTPUT/FORWARD/...), commands
(-A/-D/-I/...), parameters (-p/-s/-d/-j/...) and targets
(ACCEPT/DROP/REJECT/...).
Direct options should be used only as a last resort when it's not possible to
use for example --add-service=service or --add-rich-rule='rule'.
The first argument of each option has to be ipv4 or ipv6 or eb. With ipv4 it
will be for IPv4 (iptables(8)), with ipv6 for IPv6 (ip6tables(8)) and with eb
for ethernet bridges (ebtables(8)).
[--permanent] --direct --get-all-chains
Get all chains added to all tables. This option concerns only chains
previously added with --direct --add-chain.
[--permanent] --direct --get-chains { ipv4 | ipv6 | eb } table
```
查看防火墙上设置的规则
```shell
[root@xingdian zones]# firewall-cmd --direct --get-all-rules
```
添加高级规则
```shell
[root@xingdian zones]# firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 80 -s 172.25.254.77 -j ACCEPT
```
注意:
只允许172.25.254.77通过80端口访问主机位为110的http服务。因为访问的是主机位为110的http服务需要主机位为110的内核同意开启http服务需要在表filter中设置INPUT-p 数据包类型;--dport 服务端口
删除防火墙上的规则
```shell
[root@xingdian zones]# firewall-cmd --permanent --direct --remove-rule ipv4 filter INPUT 1 -p tcp --dport 22 -s 172.25.254.217 -j REJECT
```
注意:
移除不允许172.25.254.217通过22端口的访问ssh连接172.25.254.110这条规则
#### 2.端口转发
端口转发可以将指定地址访问指定的端口时,将流量转发至指定地址的指定端口。转发的目的如果不指定 ip 的话就默认为本机,如果指定了 ip 却没指定端口,则默认使用来源端口。 如果配置好端口转发之后不能用,可以检查下面两个问题
比如我将 80 端口转发至 8080 端口,首先检查本地的 80 端口和目标的 8080 端口是否开放监听了
其次检查是否允许伪装 IP没允许的话要开启伪装 IP
案例
```shell
1. firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080
# 将80端口的流量转发至8080
2. firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1
# 将80端口的流量转发至192.168.0.1
3. firewall-cmd --add-forward-port=port=80:proto=tcp:toaddr=192.168.0.1:toport=8080
# 将80端口的流量转发至192.168.0.1的8080端口
```
开启IP伪装
```shell
查看:
[root@xingdian zones]# firewall-cmd --query-masquerade yes no
开启:
[root@xingdian zones]# firewall-cmd --add-masquerade
关闭:
[root@xingdian zones]# firewall-cmd --remove-masquerade
```
作用
当我们想把某个端口隐藏起来的时候,就可以在防火墙上阻止那个端口访问,然后再开一个不规则的端口,之后配置防火墙的端口转发,将流量转发过去
端口转发还可以做流量分发,一个防火墙拖着好多台运行着不同服务的机器,然后用防火墙将不同端口的流量转发至不同机器

View File

@ -0,0 +1,315 @@
<h1><center>企业级防火墙技术IPtables</center></h1>
------
**作者:行癫(盗版必究)**
## 一:防火墙简介
#### 1.简介
iptables其实并不是真正的防火墙我们可以把他理解为一个客户端的代理用户是通过iptables这个代理将用户的安全设定执行到对应的“安全框架”中这个“安全框架”才是真正的防火墙。这个框架叫做netfilter
netfilter 内核态 位于内核空间
iptables 用户态 位于用户空间
注意:
企业环境内部服务器需关闭Linux自身防火墙解决安全问题尽量不给服务器配置外网IP.需要访问的话就使用代理转发因为高并发iptables会加大延迟。除非并发小服务器必须处于公网考虑开启防火墙大并发的情况不能开iptables,影响性能因为iptables是要消耗CPU的利用硬件防火墙提升架构安全
#### 2.分类
逻辑分类
主机防火墙:针对单个主机进行防护
网络防火墙:它往往处于网络入口或者边缘,针对于网络入口进行防护,服务于防火墙背后的局域网
物理分类
硬件防火墙:在硬件级别实现部分防火墙功能,另一部分基于软件实现,性能高,成本高
软件防火墙:应用软件处理逻辑运行于通用硬件平台之上,性能低,成本低
## 二:相关术语
#### 1.表tables
tables是链的容器即所有的链chains都属于其对应的表tables如上如果把Netfilter看成是某个小区的一栋楼那么表tables就是楼里的其中的一套房子
#### 2.链chains
chains是规则Policys的容器。如果把表tables当作有一套房子那么链chains就可以说是房子里的家具柜子等
#### 3.规则Policy
规则Policy就比较容易理解了就是iptables系列过滤信息的规范和具体方法条款了.可以理解为柜子如何增加并摆放柜子东西等
| **Netfilter/iptables** | 表tables | 链chains | 规则Policy |
| ---------------------- | ------------ | ------------ | -------------------- |
| **一栋楼** | 楼里的房子 | 房子里的柜子 | 柜子里衣服,摆放规则 |
## 三Iptables表和链
默认情况下iptables根据功能和表的定义划分包含四个表filter,nat,mangle,raw其每个表又包含不同的操作链chains )
#### 1.表
raw 追踪数据包
mangle 对数据包打标记
nat 地址转换
filter 数据包过滤
#### 2.链
PREROUTING 在路由之前
INPUT 数据包进入时
FORWARD 数据包经过时
OUTPUT 数据包出去时
POSTROUTING 在路由之后
#### 3.表详情
raw:
Chain PREROUTING (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)
mangle
Chain PREROUTING (policy ACCEPT)
Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)
Chain POSTROUTING (policy ACCEPT)
nat:
Chain PREROUTING (policy ACCEPT)
Chain INPUT (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)
Chain POSTROUTING (policy ACCEPT)
filter:
Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT匹配过的数据包不会在去匹配)
Chain OUTPUT (policy ACCEPT)
#### 4.访问顺序
当一个数据包进入网卡先进入PREROUTING链内核根据数据包的IP判断是否需要转发
如果是到本机的就会到INPUT链然后本机的所有进程可收到这个包
如果不是到本机的且内核允许转发就会到达FORWARD链然后到POSRTROUTING链输出
本机发出一个数据会通过OUTPUT链再到POSRTROUTING链输出
注意:
规则顺序:匹配即刻停止
<img src="https://xingdian-image.oss-cn-beijing.aliyuncs.com/xingdian-image/image-20230309194921559.png" alt="image-20230309194921559" style="zoom:50%;" />
## 四Iptables操作
#### 1.安装
```shell
centos(5/6)
启动防火墙:#/etc/init.d/iptables start
centos7
[root@xingdian ~]# yum install -y iptables iptables-services
[root@xingdian ~]# systemctl stop firewalld
[root@xingdian ~]# systemctl disable firewalld
[root@xingdian ~]# systemctl start iptables
查看版本:
[root@xingdian ~]# iptables -V
iptables v1.4.21
配置文件:
/etc/sysconfig/iptables-config
/etc/sysconfig/iptables #记录规则文件
```
#### 2.参数解释
```shell
-L:列出一个链或所有链中的规则信息
-n以数字形式显示地址、端口等信息
-v以更详细的方式显示规则信息
--line-numbers查看规则时显示规则的序号方便之处通过需要删除规则-D INPUT 1
-F清空所有的规则-X是清理自定义的链用的少-Z清零规则序号
-D删除链内指定序号或内容的一条规则
-P为指定的链设置默认规则
-A在链的末尾追加一条规则
-I在链的开头或指定序号插入一条规则
-t: 指定表名
.... 更多参数可通过--help查看
```
#### 3.常见操作
```shell
1.如果不写-t 默认使用filter表
指定表名查看规则
[root@xingdian ~]# iptables -t nat -L
默认查看规则:
# iptables -L
以数字的形式显示ip和端口与协议
# iptables -nL
显示规则行号
# iptables -nL --line
清空规则:
#iptables -F
清空单独的某一个链里面的规则
#iptables -F 链名
保存规则:
# service iptables save
# iptables-save > /etc/sysconfig/iptables
# iptables-restore < /etc/sysconfig/iptables
```
#### 4.常见协议
```shell
协议:-p 小p
tcp ---用的最多
udp
icmp ---ping的时候用的协议
#使用协议的时候可以不指定端口,使用端口的时候必须指定协议。
案例:
禁止自己被ping在filter表的INPUT链插入一个丢弃icmp的规则。
[root@xingdian ~]# iptables -F
[root@xingdian ~]# iptables -A INPUT -p icmp -j REJECT ----拒绝
验证:
[root@xingdian ~]# ping 192.168.246.200
PING 192.168.246.200 (192.168.246.200) 56(84) bytes of data.
From 192.168.246.200 icmp_seq=1 Destination Port Unreachable
```
#### 5.目标动作
ACCEPT 允许数据包通过(默认策略)
DROP 直接丢弃数据包,不给任何回应
REJECT 拒绝数据包,必要时会给数据发送端一个响应
SNAT 源地址转换可以解决內网用户用一个公网IP上网问题 POSTROUTING
DNAT 目标地址转换 PREROUTING
REDIRECT 做端口映射
#### 6.规则案例
```shell
添加规则:-A
[root@xingdian ~]# iptables -t filter -A INPUT -p icmp -j REJECT
[root@xingdian ~]# iptables -t filter -A INPUT -p tcp --dport 22 -s 192.168.122.113 -j REJECT
插入规则:-I
如果不指定插入到第几条,默认插入到第一条
插到那默认就是第几条
[root@xingdian ~]# iptables -t filter -I INPUT 2 -p tcp --dport 22 -s 192.168.122.114 -j REJECT 插入到第二条上面
[root@xingdian ~]# iptables -t filter -I INPUT -p tcp --dport 22 -s 192.168.122.114 -j REJECT 默认插入到第一行
替换(修改)规则:-R
[root@xingdian ~]# iptables -t filter -R INPUT 2 -p tcp --dport 22 -s 192.168.122.115 -j REJECT 把114-->115
删除规则:-D
[root@xingdian ~]# iptables -t filter -D INPUT -p tcp --dport 22 -s 192.168.122.115 -j REJECT
[root@xingdian ~]# iptables -L --line (要删除的序号)
[root@xingdian ~]# iptables -t filter -D INPUT 2
修改默认策略:-P 只能用DROP和ACCEPT
[root@xingdian ~]# iptables -t filter -P INPUT DROP
[root@xingdian ~]# iptables -t filter -P INPUT ACCEPT
添加自定义链:-N 默认不生效 是用来存储规则的
[root@xingdian ~]# iptables -N blackrach 自己创建的链
[root@xingdian ~]# iptables -t filter -A blacrach -p tcp --dport 22 -s 192.168.122.116 -j REJECT 往自定义链上添加
[root@xingdian ~]# iptables -A INPUT -j blackrach 关联自定义链,使用自定义链
修改自定义链名称:-E
[root@xingdian ~]# iptables -E blackrach blackcloud
删掉自定义规则:不能被关联,必须是空链
[root@xingdian ~]# iptables -X +链名 删除自定义链
```
#### 7.匹配规则
基本匹配
```shell
协议 -p tcp udp icmp
查端口vim /etc/services 记录的是tcp/udp协议簇
vim /etc/protocols 记录的是icmp
-p tcp udp icmp
端口:使用端口前加协议(-p
--sport源端口
[root@xingdian ~]# iptables -A INPUT -p tcp --sport 22 -s 10.18.44.10 -j REJECT
--dport目标端口
[root@xingdian ~]# iptables -A INPUT -p tcp --dport 22 -s 10.18.44.10 -j REJECT
IP
-s 源IP source ip地址 网段 逗号可以分开多个地址
-d 目标IP destination
```
扩展规则
```shell
-m 后面+扩展匹配
-m multiport 多端口
[root@xingdian ~]# iptables -A INPUT -m multiport --sports(--source-ports) 80,20,22,1000:2000 -j DROP
--dports(--destination-ports)
-m iprange 多ip地址
[root@xingdian ~]# iptables -A INPUT -m iprange --src-range 10.18.44.211-10.18.44.250 -j DROP
-m mac
[root@xingdian ~]# iptables -A INPUT -m mac --mac-source 52:54:00:86:a1:86 -j REJECT
获取MAC的方式
[root@xingdian opt]# arp -a 10.0.102.101
[root@xingdian opt]# arping -I eth0 10.0.102.101
```
#### 8.网络地址转换
注意:实验环境效果不佳/无
SNAT:把内网地址转换成公网地址
client ----------------iptables----内网ip--公网(baidu公网)
一个数据包在经过路由之后或者说在通过防火墙的过滤之后才被知道他的源IP是谁在路由之前只能看到目标IP如果我看不到你的源IP那怎么匹配想过滤的数据包并进行源地址转换我防火墙根本就不能确定你是否是符合匹配条件的IP所以只能使用POSTROUTING
```shell
[root@xingdian ~]# iptables -t nat -A POSTROUTING -s 192.168.122.0/24 -d 192.168.122.0/24 -j SNAT --to-source 192.168.2.1
```
DNAT:要把别人的公网ip换成我们内部的IP
web-server iptables client
如果我不在路由之前就把目标地址转换完成很显然当数据包到达入口IP之后他的目的已经达到了因为他本来的目标IP就是防火墙的对外公网IP那么数据包还会往里面走吗显然不可能了所以只能使用PREROUTING
```shell
[root@xingdian ~]# iptables -t nat -A PREROUTING -d 192.168.1.2 -j DNAT --to-destination 192.168.2.2
[root@xingdian ~]# iptables -t nat -A POSTROUTING -d 192.168.2.2 -j SNAT --to 192.168.2.1
```
面试题
```shell
[root@xingdian ~]# iptables -t nat -A PREROUTING -p tcp -d 192.168.122.1 -dport 80 -j REDIRECT --to-destination 192.168.1.1:8080
```