ip映射
假设有一家ISP提供园区Internet接入服务&＃xff0c;为了方便管理&＃xff0c;该ISP分配给园区用户的IP地址都是伪IP&＃xff0c;但是部分用户要求建立自己
的WWW服务器对外发布信息。我们可以在防火墙的外部网卡上绑定多个合法IP地址&＃xff0c;然后通过ip映射使发给其中某一个IP地址的包转
发至内部某一用户的WWW服务器上&＃xff0c;然后再将该内部WWW服务器响应包伪装成该合法IP发出的包。
 
§假设以下情景&＃xff1a;
 该ISP分配给A单位www服务器的ip为&＃xff1a;
 伪ip&＃xff1a;192.168.1.100
 真实ip&＃xff1a;202.110.123.100
 
 该ISP分配给B单位www服务器的ip为&＃xff1a;
 伪ip&＃xff1a;192.168.1.200
 真实ip&＃xff1a;202.110.123.200
 linux防火墙的ip地址分别为&＃xff1a;
 内网接口eth1&＃xff1a;192.168.1.1
 外网接口eth0&＃xff1a;202.110.123.1
§将分配给A、B单位的真实ip绑定到防火墙的外网接口&＃xff0c;以root权限执行以下命令&＃xff1a;
 ifconfig eth0 add 202.110.123.100 netmask 255.255.255.0
 ifconfig eth0 add 202.110.123.200 netmask 255.255.255.0
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
echo 1 > /proc/sys/net/ipv4/ip_forward    //开启转发
§首先&＃xff0c;对防火墙接收到的目的ip为202.110.123.100和202.110.123.200的所有数据包进行目的NAT(DNAT):
iptables –t nat -A PREROUTING -i eth0 -d 202.110.123.100 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80
iptables –t nat -A PREROUTING -i eth0 -d 202.110.123.200 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.200:80
§其次&＃xff0c;对防火墙接收到的源ip地址为192.168.1.100和192.168.1.200的数据包进行源NAT(SNAT):
iptables –t nat -A POSTROUTING -o eth0 -s 192.168.1.100 -j SNAT --to-source 202.110.123.100
iptables –t nat -A POSTROUTING -o eth0 -s 192.168.1.200 -j SNAT --to-source 202.110.123.200
§这样&＃xff0c;所有目的ip为202.110.123.100和202.110.123.200的数据包都将分别被转发给192.168.1.100和192.168.1.200&＃xff1b;
 
而所有来自192.168.1.100和192.168.1.200的数据包都将分别被伪装成由202.110.123.100和202.110.123.200&＃xff0c;从而也就实现了ip映射。