使用Linux 2.4实现NAT服务

---- 在即将推出的Linux 2.4内核中，实现IP包过滤（IP filter）/网络地址翻译（NAT）功能的ipchains被Netfilter所取代。Netfilter产生的动机是源于ipchains代码结构的不合理性。如Netfilter的作者所说“当我开发IPChains时，……在那一瞬间，我意识到包过滤代码并没有处在一个合适的位置……简而言之，出于负责到底的原则，我还是完成了IPChains的开发。”事实上，这种结构的不合理性是从2.0系列内核的ipfwadm继承下来的。为此，Netfilter采用了全新的机制。与ipchains相比，Netfilter并不是具体实现包过滤的程序，而是一套框架结构。各种包过滤、NAT功能模块都可建立在这套框架结构之上，从而提供了更好的灵活性和可扩展性。

一、Netfilter基础

---- Netfilter提供了一系列的“表”（tables），表由若干“链”（chains）组成，链相当于以前的ipchains，系统缺省的表为“filter”，表中包含了INPUT、FORWARD和OUTPUT 3个链，图1所示是数据包在filter表中的流程。各个链的含义见表1。

表1
链名 功能
INPUT 处理所有发向本机的数据包
OUTPUT 处理所有从本机发出的数据包
FORWARD 处理所有经本机路由的数据包



---- 链由一系列规则组成，每一条规则中可以设置决定数据包走向的“目标”（targets），常用的目标是ACCEPT、DROP、REJECT等，含义如表2。下面举几个例子来说明这些概念。

表2
目标 含义
ACCEPT 接受数据包，将其传递至表中的下一个链
DROP 丢弃数据包，不返回任何信息
REJECT 丢弃数据包，并返回一个目标地址不可达信息

---- ＃iptables -A INPUT -s 192.168.1.1 -j ACCEPT

---- 这条命令的含义是在INPUT链中增加（-A）一条规则，即对所有来自（-s）192.168.1.1的数据包全部接受（-j ACCEPT，-j是跳转的意思），并转到表中的下一条链继续执行。而以下这条命令则表示丢弃（-j DROP）所有来自192.168.0.0 16位掩码子网的数据包。

---- ＃iptables -A INPUT -s 192.168.0.0/16 -j DROP

---- 用这个缺省的filter表就可以实现包过滤。表3 列出了几种使用iptables防止各种攻击的命令，其中，“-p tcp”和“-p icmp”是指定数据包的类型，紧随其后的选项指定数据包的具体类型。“-m limit”表示“若匹配，则限制为”，“-limit”是具体的限制条件，例如“1/s”表示每秒钟只允许通过一个数据包，这个选项可以有效防止各种DoS（DDoS）攻击。

二、了解NAT

---- NAT是通过一个特殊的表来实现的。即nat表，表中有3条链，分别是PREROUTING、ROUTING和POSTROUTING。数据包的流向如图2所示。PREROUTING链用于DNAT；POSTROUTING链用于SNAT; Routing是路由链。



三、使用Netfilter共享Internet拨号连接

---- 1． 典型环境
---- 一个小型局域网络，由2台客户机（1台台式机和1台便携机）、1台文件/打印服务器和1台拨号服务器（安装Linux）组成。使用Modem拨号方式连接Internet。以上每台机器装有一块网卡连到Hub，所有的网卡使用保留IP（192.168.1.x），拨号服务器通过串口连接外置Modem，IP地址为拨号时动态分配。网络结构如图3所示。



---- 2．编译内核
---- 以下所有命令均以root身份执行。首先需要在拨号服务器上编译内核进行有关的设定，内核版本要求在2.3.x以上，本文以最新的2.4.0-test11为例，使用make menuconfig方式编译。与Netfilter相关的选项都在“Networking Options”部分，在其中做如下选择。

---- ...
----

Kernel/User netlink socket
---- [ ] Routing messages
---- <* > Netlink device emulation
----

• Network packet filtering (replaces ipchains)
  ---- [ ] Network packet filtering debugging
  ---- [ ] Socket Filtering
  ---- ...
  ---- 在其中的“IP: Netfilter Configuration”子项中做如下选择。
  ---- ...
  ---- <M > Connection tracking (required for masq/NAT)
  ---- <M > FTP protocol support (NEW)
  ---- <M > IP tables support (required for filtering/masq/NAT) (NEW)
  ---- <> limit match support
  ---- <M > MAC address match support
  ---- <> Netfilter MARK match support
  ---- <M > Multiple port match support
  ---- <M > TOS match support
  ---- <> Connection state match support
  ---- <> Unclean match support (EXPERIMENTAL)
  ---- <> Owner match support (EXPERIMENTAL)
  ---- <M > Packet filtering
  ---- <M > REJECT target support
  ---- <M > MIRROR target support (EXPERIMENTAL)
  ---- <M > Full NAT
  ---- <M > MASQUERADE target support
  ---- <M > REDIRECT target support
  ---- <M > Packet mangling
  ---- <M > TOS target support
  ---- <M > MARK target support
  ---- <M > LOG target support
  ---- <> ipchains (2.2-style) support
  ---- <> ipfwadm (2.0-style) support
  ---- ...
  
  ---- 有些项并不是必须的，您可以根据自己的需要做取舍。比如，ipchains和ipfwadm两项是基于Netfilter框架开发的向前兼容的模块。但不能和iptables同时使用。保存配置并退出后，可以使用如下命令编译内核和模块。
  
  ---- ＃make dep clean modules modules_install bzImage
  
  ---- 需要注意的是，目前多数系统缺省的模块工具（module utilities）与2.4内核不兼容，主要是因为2.4内核的模块目录结构有了很大变化。您可运行“insmod -V”检查当前的模块工具版本，如果在2.3.12以下，请到http://www.kernel.org/pub/linux/utils/kernel/modutils/v2.3/ 下载最新的版本并安装。
  
  ---- 3． 安装Netfilter（iptables）
  ---- 这一步是安装iptables的运行库、帮助文件和可执行程序。请到http://Netfilter.kernelnotes.org/ 下载最新的iptalbes源文件，下面以1.1.2版为例，安装过程如下。
  
  ---- （1）解开源码包。
  ---- ＃bzip2 -dc iptables-1.1.2.tar.bz2 | tar vxf -
  
  ---- （2）进入源码目录。
  ---- ＃cd iptables-1.1.2/
  
  ---- （3）编译并安装。
  ---- ＃make;make install
  
  ---- 4．启动NAT
  ---- 如果以上两步顺利，就可以试着启动NAT了。首先插入所需模块，运行如下命令（这里要注意顺序）。
  
  ---- ＃insmod ip_tables
  ---- ＃insmod ip_conntrack
  ---- ＃insmod iptable_nat
  ---- ＃insmod ipt_MASQUERADE
  
  ---- 以上4个模块中，ip_tables是iptables主模块，实现Netfilter的接口框架；ip_contrack是连接跟踪模块，是后面两个模块所需要的；iptable_nat是实现NAT功能的模块；ipt_MASQUERADE则是实现IP伪装的。
  
  ---- 模块插入后，用如下命令启动NAT。
  
  ---- ＃iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
  
  ---- 命令中，“-t nat”说明对NAT表操作；“-A POSTROUTING”说明是添加POSTROUTING链中的规则；“-o ppp0 -j MASQUERADE”表示对所有通过ppp0（Internet拨号连接）接口向外发送的包进行IP伪装。
  
  ---- 最后，还需要启动内核的IP转发功能，运行如下命令。
  ---- ＃echo "1" > /proc/sys/net/ipv4/ip_forward
  
  ---- 如果经测试启动成功，可以将以上操作合并到一起制作为一个如下所示的脚本文件，在每次开机时自动运行。
  
  ---- #!/bin/bash
  ---- # 插入模块
  ---- insmod ip_tables
  ---- insmod ip_conntrack
  ---- insmod iptable_nat
  ---- insmod ipt_MASQUERADE
  ---- # 设置NAT
  ---- ＃iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
  ---- # 启用IP转发
  ---- echo "1" > /proc/sys/net/ipv4/ip_forward
  
  ---- 本文只是简单地介绍了iptables的主要用途，事实上，iptables的应用非常多，相应的参数也比较复杂，具体可以参考其帮助手册。
  php爱好者站 http://www.ｐｈｐfans.net dreamweaver|flash|fireworks|photoshop.