Firewall

Разграничение доступа к сетевым ресурсам.

iptables - “таблицы IP”

Таблицы: Filter (обычный файрвол), NAT (для маршрутизации), Mangle (для остального).

Таблицы состоят из цепочек:
Filter = цепочки INPUT + FORWARD + OUTPUT

INPUT для входящих пакетов
OUTPUT для исходящих
FORWARD - для маршрутизируемых

iptables -A OUTPUT -d 217.69.139.200 -j DROP
Опции команды:
-d - адрес назначения
-s - адрес источника
-p - протокол
-i - сетевой интерфейс
–sport / –dport - порт источника/назначения.

iptables -A INPUT -s 8.8.8.8 -j DROP

Таблица NAT

Цепочки POSTROUTING и PREROUTING.
PREROUTING - до решения о маршрутизации
POSTROUTING - после (уже знаем, через какой интерфейс отправим)

NAT - Network Address Translation - подмена адресов
Source NAT - подмена адреса источника.

iptables -t nat -A POSTROUTING -j MASQUERADE
MASQUERADE - SNAT с автоматическим определением адреса источника (медленно)

iptables -t nat -A POSTROUTING -j SNAT –to-source 195.19.1.1

iptables -t nat -A POSTROUTING -s 10.0.0.0/32 -j SNAT –to-source 195.19.1.1

DNAT - подмена адреса назначения

Проброс портов

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.17
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.17:8080
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.17-19 (балансировка нагрузки)

DNAT работает при настроенном SNAT!