Ubuntu防火墙NAT如何配置 - 问答

Ubuntu 防火墙 NAT 配置指南

一、准备与网络规划

准备一台至少双网卡的 Ubuntu 主机：外网接口（如 eth0/WAN）连接公网或上级路由，内网接口（如 eth1/LAN）连接交换机/终端，内网网段示例 192.168.1.0/24。使用 ip a 确认接口名称。
安装工具（便于规则持久化）：sudo apt update && sudo apt install -y iptables iptables-persistent netfilter-persistent。
规划示例：外网口 eth0，内网口 eth1，内网 192.168.1.0/24，网关 192.168.1.1。

二、方案一使用 iptables 直接配置 NAT（通用、直观）

启用内核转发
- 编辑：sudo nano /etc/sysctl.conf，设置：net.ipv4.ip_forward=1；生效：sudo sysctl -p；验证：cat /proc/sys/net/ipv4/ip_forward（应返回 1）。
配置 NAT 与转发规则（按需替换接口名与网段）
- 允许已建立连接回包：sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
- 出口伪装（MASQUERADE）：sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
- 允许内网访问外网：sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
- 允许外网回包：sudo iptables -A FORWARD -i eth0 -o eth1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
端口转发示例（外网 8080 → 内网 192.168.1.100:80）
- DNAT：sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
- 放行转发：sudo iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -d 192.168.1.100 -j ACCEPT
规则持久化
- 保存：sudo netfilter-persistent save；启用开机恢复：sudo systemctl enable netfilter-persistent。

三、方案二使用 UFW 管理 NAT（适合已使用 UFW 的场景）

启用转发策略与内核转发
- 编辑：sudo nano /etc/default/ufw，设置：DEFAULT_FORWARD_POLICY=“ACCEPT”
- 编辑：sudo nano /etc/ufw/sysctl.conf，设置：net/ipv4/ip_forward=1
添加 NAT 规则到 UFW 前置规则
- 编辑：sudo nano /etc/ufw/before.rules，在文件靠前位置（在 *filter 段之前）加入：
```
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
COMMIT
```
端口转发示例（外网 8080 → 内网 192.168.1.100:80）
- 在 *nat 段追加：
```
-A PREROUTING -p tcp -i eth0 --dport 8080 -j DNAT --to-destination 192.168.1.100:80
```
- 放行转发与入站访问：
  - UFW 路由放行：sudo ufw route allow in on eth0 to 192.168.1.100 port 80 proto tcp
  - 如访问本机端口：sudo ufw allow 8080/tcp
使配置生效
- 重载：sudo ufw reload（远程操作前务必先放行 SSH，避免断连）。
查看与清理 NAT
- 查看：sudo iptables -t nat -L -v -n
- 清理 NAT 表：sudo iptables -t nat -F

四、验证与故障排查

转发与连通性
- 检查转发：cat /proc/sys/net/ipv4/ip_forward（应为 1）
- 内网测试：ping 8.8.8.8（从内网主机），nslookup example.com（测试 DNS）
- 端口转发：curl http://网关公网IP:端口
规则与日志
- 查看 NAT：sudo iptables -t nat -L -v -n
- 查看转发：sudo iptables -L FORWARD -n -v
- 丢包定位：sudo iptables -A FORWARD -j LOG --log-prefix "FORWARD_DROP: "；tail -f /var/log/syslog | grep “FORWARD_DROP”
常见问题
- 接口名写错、未启用 ip_forward、FORWARD 规则顺序不当、云环境未放通对应安全组/端口。

五、安全与优化建议

防火墙基线（示例，按需收紧）
- 默认拒绝：sudo iptables -P INPUT DROP；sudo iptables -P FORWARD DROP
- 放行回环与已建立：sudo iptables -A INPUT -i lo -j ACCEPT；sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
- 按需开放管理端口（如 22/TCP），并启用 fail2ban。
连接跟踪与性能
- 增大跟踪表：在 /etc/sysctl.conf 增加 net.netfilter.nf_conntrack_max=65536；net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=1800；执行 sysctl -p。

0 赞

0 踩