Firewall-cmd 启用NAT开放内网机器通过能上网的机器访问外网的方法

firewall,cmd,启用,nat,开放,内网,机器,通过,上网,访问,外网,方法 · 浏览次数 : 194

小编点评

## Firewall-cmd 配置 NAT 开放内网机器访问外网的方法背景说明 **昨天的处置允许外部使用唯一的电信IP地址访问内部交换机的服务器。** 今天，想要让内网交换机的服务器通过能够上网的机器进行上外网的操作，可以使用以下两种方法： 1. **设置假装模式**： - `firewall-cmd --zone=public --add-masquerade#` 设置允许所有外网机器通过 53 端口访问内网。 - `firewall-cmd --zone=public --add-port=53/tcp --permanent#` 设置允许所有外网机器通过 53 端口访问内网。 2. **使用动态路由**： - `route add default gw 192.168.2.203#` 设置默认网关指向内网地址。 **但需要注意的是，使用动态路由需要配置 DNS 解析服务器地址，否则无法访问外网。** **本文展示了两种方法的比较：** | 方法 | 优点 | 缺点 | |---|---|---| | 设置假装模式 | 简单易用 | 限制外部访问，可能导致安全性问题 | | 使用动态路由 | 允许所有外网机器访问 | 需要配置 DNS 解析服务器地址 | **建议：** * 在生产环境中，使用设置假装模式，因为动态路由可能会影响性能。 * 在生产环境中，确保 DNS 解析服务器地址是可用的。 * 在使用动态路由之前，测试确保 DNS 解析正常工作。 **其他提示：** * `route -n` 命令可列出所有网关，帮助理解路由的规则。 * `route delete` 命令可删除所有网关，但请确保在执行之前备份所有配置。

正文

Firewall-cmd 启用NAT开放内网机器通过能上网的机器访问外网的方法

背景说明

昨天的处置已经可以让外部可以使用唯一的电信IP地址访问内部交换机的服务器了.
但是今天的场景是想让内网交换机的服务器通过能够上网的机器进行上外网的操作.
之前整理过很多通过apache后者是nginx的正方向代理的方式进行处理的过程.
那种的适用范围比较小, 想通过这个方式来加快处理效率

注意 此方法有内网穿透的风险, 严禁用于生产.
昨天的blog在这里也增加上注意事项与声明 !-_-!
不给钱白嫖就别用于生产. 上生产当心被雷劈.

处理过程

firewall-cmd --permanent --zone=public --add-masquerade
# 跟昨天一样 设置假装的模式
firewall-cmd --zone=public --add-port=53/tcp --permanent
# 可以将 53端口打开. 但是我感觉打开了也没啥用..
route add default gw 192.168.2.203
# 在内网不能上网的机器上面执行这个命令. 注意 gw 后面的IP地址是 能上网的机器的内网地址.
vim /etc/resolv.conf
# 在这个文件里面增加一行: nameserver 114.114.114.114
ping 8.8.8.8
# 验证网络是否连通
ping www.baidu.com
# 验证DNS是否正常

安装部分软件验证

[root@kylinv10no1 yum.repos.d]# yum install fio -y
上次元数据过期检查：0:24:36 前，执行于 2023年05月10日 星期三 13时45分39秒。
依赖关系解决。
========================================================================================================================
 Package                                                   Architecture                                       Version   
=========================================================================================================================
安装:
 fio                                                       aarch64                                            3.7-6.ky10
安装依赖关系:
 fio-help                                                  aarch64                                            3.7-6.ky10

不设置 route的效果为:

yum install fio -y
Kylin Linux Advanced Server 10 - Os                                                                                                       
Error: Failed to download metadata for repo 'ks10-adv-os': Cannot download repomd.xml: Cannot download repodata/repomd.xml: All mirrors were tried

route命令的学习与使用

添加默认网关
route add default gw 192.168.2.203
删除默认网关
route del default gw 192.168.2.203

效果为:
[root@kylinv10no1 deploy]# route del default gw 192.168.2.203
[root@kylinv10no1 deploy]# ping 8.8.8.8
ping: connect: 网络不可达
[root@kylinv10no1 deploy]# route add default gw 192.168.2.203
[root@kylinv10no1 deploy]# ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=112 time=80.0 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=112 time=82.8 ms

注意 压测时可以删掉, 需要用网络时在添加上. 

route -n
展示所有的网关. 
理论上路由的顺序是先最大化匹配开始进行.

Windows机器的设置

route add 0.0.0.0 mask 0.0.0.0 192.168.2.203
# 这样默认网关就走 192.168.2.203了
route delete 0.0.0.0 mask 0.0.0.0 192.168.2.203
# 压测是通过这个命令执行删除就可以了