###### tags: `1121` `lsa` `ncnu`
# Week 15 (2023/12/21) iptables

- Book mode: https://hackmd.io/@ncnu-opensource/book
[TOC]

:::info
- 下週**期中考-2**，下下週期末報告，大家加油 :+1: [name=Ray]
- [1111 期末參考](https://hackmd.io/@ncnu-opensource/book/https%3A%2F%2Fhackmd.io%2FW__Ra6XOS3ueQZ4VgIHf5A%3Fview)
- [1101 期末參考](https://hackmd.io/@ncnu-opensource/book/%2FAMPBZk5uTu6gtzScnnlt-Q)
- [期末 GitHub Template](https://github.com/NCNU-OpenSource/final-project-readme-template/tree/master/template)
:::
### NAT
- Network Address Translation
- 內網和外網IP位址之間的轉換
- 只要一個外網IP，就能讓多個內網主機可以上網
* 有SNAT、DANT、NASQUERADE

### SNAT

#### 情境：內網主機(192.168.1.100)要連線到外網(域名 tw.yahoo.com)
1. 內網主機192.168.1.100傳遞封包給NAT主機
2. NAT主機發現目的地不是內網，先透過路由轉到外網網卡
3. 因為內網和外網不能互通，所以就在POSTROUTING chain把來源IP從內網IP換成外網IP，另外會在**NAT translation table**這兩個來源IP、port的對應關西記錄起來，之後回應封包傳回來時就能知道要傳給內網的哪台主機
4. 外網回傳封包，目的地是NAT主機的外網IP
5. 在Prerouting chain根據NAT轉譯表的紀錄更改封包目的地
6. 封包成功轉給內網主機
- 範例
`sudo iptables -t nat -I POSTROUTING -o {外部網卡} -j SNAT --to {NAT 主機 IP}`

### MASQUERADE
> 動態SNAT
- SNAT是靜態的，必須在rule手動設定外網IP
- 如果外網IP有變動，SNAT就需要手動去修改(可能會很麻煩)
- MASQUERADE會自己去找能連上外網的網卡，看那個網卡的外網IP是甚麼來當作SNAT的來源IP
- 範例
`sudo iptables -t nat -I POSTROUTING -o {外部網卡} -j MASQUERADE`

### DNAT
> Destination NAT
- 跟SNAT相反
- 在路由前(PREROUTING)將外網封包的目的IP從外網IP修改為內網主機的IP
- 目的:讓外網能主動連線到內網主機
> 除了 ssh tunnel 之外，也可以用DNAT的方式
- 情境：你在內網主機架了 Web Server，要讓外網連進來
> 先在 NAT 設定送到 NAT 80 port的封包，會轉送到內網主機的80port


1. 外網要連到內網主機的 Web Server，需要先連到 NAT 主機上
2. 當 NAT 主機接收到封包後，會在PREROUTING chain 將目的IP 從外網IP 改成內網IP，也就是變成連線到192.168.1.210的80 port，另外也當在 nat translation table 把這兩個目的IP、Port 的對應關係記錄起來
3. 封包會路由到192.168.1.2 這個內網網卡，然後再傳送到目的地192.168.1.210 的 80 port


sudo iptables -t nat -I PREROUTING \
-p tcp --dport 80 -j DNAT --to 192.168.1.210:80


| | SNAT | DNAT | M |
| -------- | -------- | --- | -------- |
| 功用 | | | |
| 使用場景 | | | |

### NAT實作
#### 架構
#### 前置處理
>NAT
* 網卡：橋接介面卡&僅限主機介面卡
* 橋接介面卡

### DMZ
- Dtermilitarized Zone (非軍事區)
- 用防火牆將內網分成兩個區域
- 1.對外開放的DMZ
- 2. 不對外開放的LAN(內網的其他主機)
WHY?
- 有服務必須開放給外網使用 EX: Web Server
- 想對外開放服務就會有被攻擊的風險
- 盡量減少被攻擊時的受災區域
- 把受災區域只限縮在DMZ，而不是整個內網都淪陷