使用iptables建置Linux 防火墙(10)

　　iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000

　　LOG 将封包相关讯息纪录在 /var/log 中，详细位置请查阅 /etc/syslog.conf 组态档，进行完此处理动作后，将会继续比对其它规则。例如：

　　iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets"

　　SNAT 改写封包来源 IP 为某特定 IP 或 IP 范围，可以指定 port 对应的范围，进行完此处理动作后，将直接跳往下一个规则炼（mangle:postrouting）。范例如下：

　　iptables -t nat -A POSTROUTING -p tcp-o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000

　　DNAT 改写封包目的地 IP 为某特定 IP 或 IP 范围，可以指定 port 对应的范围，进行完此处理动作后，将会直接跳往下一个规则炼（filter:input 或 filter:forward）。范例如下：

　　iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10:80-100

　　MIRROR 镜射封包，也就是将来源 IP 与目的地 IP 对调后，将封包送回，进行完此处理动作后，将会中断过滤程序。

　　QUEUE 中断过滤程序，将封包放入队列，交给其它程序处理。透过自行开发的处理程序，可以进行其它应用，例如：计算联机费用.......等。

　　RETURN 结束在目前规则炼中的过滤程序，返回主规则炼继续过滤，如果把自订规则炼看成是一个子程序，那么这个动作，就相当于提早结束子程序并返回到主程序中。

　　MARK 将封包标上某个代号，以便提供作为后续过滤的条件判断依据，进行完此处理动作后，将会继续比对其它规则。范例如下：

　　iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2

　　#!/bin/sh

　　#

　　# 石牌国小防火墙设定指令稿

　　# 2002/8/27

　　# 设定者：李忠宪（修改自 iptables tutorial 1.1.11 by Oskar Andreasson ）

　　# 原文件是依 DMZ 需求设计，已根据校园 NAT 网络之需求修改，其余改动部份包括：

　　# 新增通讯协议定义区块

　　# 新增执行时，自动清除已设定之规则

　　# 支援 FTP

　　# 修改所有规则，改采 multiport 方式以简化规则

　　# 原文件仅支持 IP 伪装（多对一对应），已扩充为支持一对一对应及多对多对应

　　# 原文件仅支援 DNS 及 WEB，新增 ftp、mail、wam、PCAnywhere、ssh......等多种服务器

　　# 修改若干规则设定上的小错误