網(wǎng)絡(luò)拓?fù)鋱D及說(shuō)明

說(shuō)明

服務(wù)器通過(guò)靜態(tài)IP上網(wǎng)，外網(wǎng)連接eth0口，IP為200.0.0.2；eth1口連接內(nèi)網(wǎng)交換機(jī)，內(nèi)網(wǎng)網(wǎng)段為192.168.10.1/24。

內(nèi)網(wǎng)中的所有機(jī)器通過(guò)NAT上網(wǎng)，也要通過(guò)DHCP服務(wù)器自動(dòng)獲得IP地址。其中192.168.10.254為一臺(tái)FTP服務(wù)器，需要對(duì)外提供FTP服務(wù)。

服務(wù)器本身不對(duì)外提供任何服務(wù)，僅對(duì)內(nèi)網(wǎng)提供DHCP服務(wù)以及SSH管理。

內(nèi)網(wǎng)機(jī)器使用運(yùn)營(yíng)商的DNS。

配置步驟

（系統(tǒng)IP配置方法這里不再贅述）

1. 關(guān)閉系統(tǒng)自帶的防火墻

停止firewalld服務(wù)

systemctl stop firewalld

禁止firewalld服務(wù)自啟動(dòng)

systemctl disable firewalld

2. 安裝iptables防火墻和DHCP服務(wù)器

安裝iptables服務(wù)

yum -y install iptables-services

安裝dhcp服務(wù)

yum -y install dhcp

3、對(duì)iptables進(jìn)行初始化工作

清空f(shuō)ilter表

iptables -F

清空nat表

iptables -t nat -F

默認(rèn)禁止所有傳入連接

iptables -P INPUT DROP

默認(rèn)允許所有傳出連接

iptables -P OUTPUT ACCEPT

默認(rèn)禁止路由轉(zhuǎn)發(fā)

iptables -P FORWARD DROP

4、打開(kāi)系統(tǒng)的IP轉(zhuǎn)發(fā)功能

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf

不用重啟，立即生效

sysctl -p

5、按以下模版配置DHCP服務(wù)器

配置文件位置：/etc/dhcp/dhcpd.conf

#為 192.168.10.0/24 提供DHCP服務(wù)

subnet 192.168.10.0 netmask 255.255.255.0 {

range 192.168.10.2 192.168.10.253; #地址池范圍

option broadcast-address 192.168.10.255; #廣播地址

option routers 192.168.10.1; #默認(rèn)網(wǎng)關(guān)

option domain-name-servers 202.96.134.33, 202.96.128.22; #運(yùn)營(yíng)商DNS服務(wù)器

option netbios-name-servers 192.168.10.1; #WINS服務(wù)器

option domain-name lan; #搜索域

default-lease-time 86400; #默認(rèn)租約時(shí)間，單位為秒

max-lease-time 86400; #最長(zhǎng)租約時(shí)間，單位為秒

}

#FTP服務(wù)器設(shè)置靜態(tài)IP綁定

host ftp_server {

hardware ethernet 12:34:56:11:11:11; #FTP服務(wù)器的MAC地址

fixed-address 192.168.10.254; #綁定的IP地址

}

6、配置iptables的傳入連接

允許環(huán)回接口的傳入連接

iptables -A INPUT -i lo -j ACCEPT

允許已建立的傳入連接

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

允許DHCP傳入連接

iptables -A INPUT -i eth1 -p udp --dport 67:68 -j ACCEPT

允許SSH傳入連接

iptables -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT

7、配置iptables的NAT轉(zhuǎn)發(fā)（重點(diǎn)）

允許來(lái)自內(nèi)網(wǎng)的傳出連接

iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT

開(kāi)啟源NAT功能

即將來(lái)自內(nèi)網(wǎng)主機(jī)的IP轉(zhuǎn)換為外網(wǎng)IP。

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to 200.0.0.2

配置端口映射

iptables -t nat -A PREROUTING -d 200.0.0.2 -p tcp --dport 21 -j DNAT --to 192.168.10.254

允許到FTP服務(wù)器的傳入連接

iptables -A FORWARD -d 192.168.10.254 -p tcp --dport 21 -j ACCEPT

8、保存iptables配置

iptables-save > /etc/sysconfig/iptables

9、啟動(dòng)iptables和dhcp服務(wù)

啟動(dòng)iptables

systemctl start iptables

開(kāi)機(jī)自動(dòng)啟動(dòng)iptables

systemctl enable iptables

啟動(dòng)dhcpd

systemctl start dhcpd

開(kāi)機(jī)自動(dòng)啟動(dòng)dhcpd

systemctl enable dhcpd

配置完成！