随着校园网多出口的出现,NAT是必不可少的设备,本文介绍如何将Linux配置成NAT:
本文在CentOS 5上进行配置,主要有以下几个步骤:
1. 打开Linux的IPv4转发,修改/etc/sysctl.conf文件,将
net.ipv4.ip_forward = 0
改成
net.ipv4.ip_forward = 1
2. 修改/etc/sysconfig/iptables文件,内容如下:
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o eth1 -m state --state NEW -j SAME --to 1.1.1.1-1.1.1.10
--nodst
COMMIT
-o eth1表示从eth1出去新建的连接进行转换,地址从1.1.1.1-1.1.1.10中根据哈希算法进行选择。
-j SAME 表示对去往同一个目的地址转换成同一个IP地址。
--nodst 在选择原地址时,目的地址不参与散列运算。这样设置后,每个用户访问所有网站都转换成同一个地址。
3. 修改/etc/modprobe.conf增加:
options ip_conntrack hashsize=100000
这样修改后,系统最大连接数就变成80万。
4. 为NAT增加日志功能
安装conntrack-tools工具,conntrack-tools是Linux下不同主机之间同步conntrack表的一个用户空间运行的程序,可以实现有状态防火墙之间的状态同步,实现防火墙的HA。通过conntrack-tools及syslog可以实现NAT的log功能。
(1)安装conntrack-tools工具
/etc/yum.repo.d目录增加CentALT.repo,内容如下:
[CentALT]
name=CentALT Packages for Enterprise Linux 5 - $basearch
baseurl=http://centos.alt.ru/repository/centos/5/$basearch/
enabled=1
gpgcheck=0
运行如下命令:
yum install conntrack-tools
(2)新增/usr/local/bin/conn-to-syslog,其内容为:
#!/usr/bin/perl -w
# Usage: conntrack -E -p tcp --state ESTABLISHED -j | conn-to-syslog
#by wzk@neu 2011
use Sys::Syslog;
$log_ident="NAT";
$log_opt="pid,cons";
$log_facility="local3";
openlog$log_ident,$log_opt,$log_facility;
while (<STDIN>) {
syslog ('notice', "%s", $_);
#syslog ('err', "Test Error Log Entry: %s", $_);
#syslog ('debug', "Test Debug Log Entry: %s", $_);
}
closelog();
为程序增加执行权限:
chmod +x /usr/local/bin/conn-to-syslog
(3)修改/etc/syslog.conf文件,增加红色部分内容
*.info;mail.none;authpriv.none;cron.none;local3.none /var/log/
messages
local3.* -/var/log/nat.log
注意配置文件中的facility与conn-to-syslog一致,这里使用的是local3,完毕后重启syslogd服务。
5. 启动conntrack程序,可以写到rc.local中:
/usr/sbin/conntrack -b 1048576 -E -p tcp --state ESTABLISHED -j | /usr/
local/bin/conn-to-syslog &
本例将状态为ESTABLISHED的TCP连接记录到日志中,大家可以根据man conntrack来调整相应的参数,可以实现TCP、UDP都记录下来,记录与/proc/net/ip_conntrack内容
格式一致。
经过以上配置后,重新启动机器即可实现NAT及日志功能。
(作者单位1为辽宁省铁岭无线电监测站,2为中国航空油料有限责任公司沈阳分公司)
特别声明:本站注明稿件来源为其他媒体的文/图等稿件均为转载稿,本站转载出于非商业性的教育和科研之目的,并不意味着赞同其观点或证实其内容的真实性。如转载稿涉及版权等问题,请作者在两周内速来电或来函联系。