linux下nat端口映射

yilei117

LINUX下iptables端口映射的方法
iptables -t nat -A PREROUTING -d 202.114.x.x -p tcp --destination-port 80 -j DNAT --to 192.168.0.2
iptables -t nat -A OUTPUT-s 192.168.0.2 -p tcp --source-port 80 -j SNAT --to 202.114.x.x
iptables -t nat -A PREROUTING -d 202.114.x.x -p tcp --destination-port 21 -j DNAT --to 192.168.0.1
iptables -t nat -A OUTPUT-s 192.168.0.1 -p tcp --source-port 21 -j SNAT --to 202.114.x.x



一外网IP218.17.xxx.xxx，现在想用这个IP通过linux映射到内部的一台WEB服务器上IP为192.168.188.5,就是不管在外面还是内部都是用218.17.xxx.xxx来访问WEB(这WEB在内部的192.168.188.5上),怎么做
Q：一局域网192.168.1.024，有web和ftp服务器192.168.1.10、192.168.1.11,网关linux，内网eth0，IP为192.168.1.1，外网eth1，IP为a.b.c.d，怎样作NAT能使内外网都能访问公司的服务器？
A：
web
用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10
用SNAT作源地址转换（关键），以使回应包能正确返回
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1
一些人经常忘了打开FORWARD链的相关端口，特此增加
iptables -A FORWARD -o eth0 -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -i eth0 -s 192.168.1.10 -p tcp --sport 80 -m --state ESTABLISHED -j ACCEPT

ftp
首先保证FTP服务器可以顺利访问外网，用SNAT就可以了
modprobe ip_nat_ftp ###加载ip_nat_ftp模块（若没有编译进内核），以使ftp能被正确NAT
modprobe ip_conntrack_ftp ###加载ip_conntrack_ftp模块
用DNAT作端口映射
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 21 -j DNAT --to 192.168.1.11
iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 20 -j DNAT --to 192.168.1.11


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u2/68295/showart_673836.html