防火墙端口转发 前置条件 端口转发基本上需要 ip_forward ，所以我们提前打开即可 转发配置 场景1 本机其他网口的ip端口流量转发到本机127.0.0.1的端口 echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf echo "net.ipv4.conf.eth0.route_localnet=1" >> /etc/sysctl.conf iptables -t nat -A PREROUTING -s x.x.x.x/32 -p tcp --dport 1234 -j DNAT --to-destination 127.0.0.1 场景2 把本机的ip端口流量转发到远程机器的ip端口上 # 本机ip端口： 172.22.5.10:8080 远程ip端口： 172.22.5.12:9000 # 流量到达本机ip后转发到目的 iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 172.22.5.12:9000 # 允许此流量通过 - 流量还需要返回 iptables -A FORWARD -p tcp -d 172.22.5.12 --dport 9000 -j ACCEPT 场景3 源地址转换1 # --to-source 选项通常不需要指定端口。该选项主要用于更改数据包的源 IP 地址，端口号通常不会在这个阶段进行更改 iptables -t nat -A POSTROUTING -p tcp -d 172.22.5.12 --dport 9000 -j SNAT --to-source 172.22.5.10 源地址转换2 # 更推荐这种，因为只需要写目的地址，不必关心源地址了 iptables -t nat -A POSTROUTING -p tcp -d 172.22.5.12 --dport 9000 -j MASQUERADE

阿里云机器共享上网实例 0x1 三台ecs，只有一台购买了外网带宽，但是另外两台有时候也需要访问外网。需要使这两台通过有互联网的这台机器访问外网。 172.26.130.187 可以访问互联网 172.26.130.188 172.26.130.186 0x2 B和C机器设置网关为A机器ip A机器开启ip_forward以及nat策略 -A POSTROUTING -s 172.26.130.188/32 -j SNAT --to-source 172.26.130.187 -A POSTROUTING -s 172.26.130.186/32 -j SNAT --to-source 172.26.130.187 控制台VPC内自定义路由表，设置vpc的下一跳为互联网机器实例

Centos7防火墙操作 firewall常用操作 服务启停 service firewalld stop && chkconfig firewalld off service firewalld start 开放端口&重载配置 firewall-cmd --zone=public --permanent --add-port=8080/tcp firewall-cmd --reload 参数解析 --zone=public --permanent 配置持久化但不会立即生效 --add-port 配置端口和协议 --reload 重载配置 根据ip开放或者限制 方式1: firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port=8080 protocol=tcp accept' 方式2: firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=192.168.1.100 port port=8080 protocol=tcp accept' 参数解析 --add-rich-rule 添加规则,具体ip,协议,端口等 --remove-rich-rule 删除规则 动作: accept 允许 drop 丢弃 reject 拒绝 使用iptables Centos7默认使用firewalld,如果使用多了Centos6可能对命令不是很习惯,那么可以安装iptables使用 yum -y install iptables-services service iptables save