iptables概述：
netfilter/iptables ： IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成。
netfilter/iptables 关系：
netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。
| 主机名 | eth0 | eth1 | 作用 |
| firewalld | 10.0.0.81 | 172.16.1.81 | 防火墙 |
| m01 | 10.0.0.61 | 172.16.1.61 (ifdown) | 批量管理 |
m01通过内网网关（访问firewalld内网IP地址）进行地址转换，从而访问外网。
流程图：
防火墙服务安装部署
[root@firewalld ~]# yum install -y iptables-services
[root@firewalld ~]# systemctl start iptables
因为是内网访问所以我们无需使用eth0，直接down就可以
[root@m01 ~]# ifdown eth0 [root@m01 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth1
TYPE=Ethernet PROXY_METHOD=none BROWSER_ONLY=no BOOTPROTO=none DEFROUTE=yes IPV4_FAILURE_FATAL=no IPV6INIT=yes IPV6_AUTOCONF=yes IPV6_DEFROUTE=yes IPV6_FAILURE_FATAL=no IPV6_ADDR_GEN_MODE=stable-privacy NAME=eth1 UUID=ae935876-ade9-4a88-b7d7-45fb1fc6d690 DEVICE=eth1 ONBOOT=yes IPADDR=172.16.1.61 PREFIX=24 GATEWAY=172.16.1.81 #网关是firewalld的内网IP地址 DNS1=223.5.5.5 #要有DNS解析，否则无妨上网
修改完需要我们重启eth1网卡：
[root@m01 ~]# ifdown eth1 && ifup eth1 Device ‘eth1‘ successfully disconnected. Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/9)
forward 表 负责转发流经主机的数据包，起转发的作用，和NAT关系很大
LVS NAT 模式，net.ipv4.ip_forward=0
[root@firewalld ~]# echo "1"> /proc/sys/net/ipv4/ip_forward #修改当前系统内存中ip_forward的值，这是开启ip转发 [root@firewalld ~]# cat /proc/sys/net/ipv4/ip_forward 1 [root@firewalld ~]# sysctl -p
或者： [root@firewalld ~]# vim /etc/sysctl.conf #最后一行加上 net.ipv4.ip_forward = 1 [root@firewalld ~]# sysctl -p
POSTROUTING: 表示数据包在从一个接口要流出, 做一个地址映射
PREROUTING: 表示数据包在从一个接口要流入, 做一个地址转换
OUTPUT: 表示将防火墙自身产生的数据流量做地址或者端口转换
[root@firewalld ~]# iptables -t nat -A POSTROUTING -s 172.16.1.61 -o eth0 -j SNAT --to-source 10.0.0.81 #将172.16.1.61IP地址转换为10.0.0.81 [root@firewalld ~]# service iptables save #保存设置，将上面的设置写入文件内
[root@m01 ~]# iptables-save #查看内容 # Generated by iptables-save v1.4.21 on Thu Dec 12 11:57:05 2019 *nat :PREROUTING ACCEPT [97:8398] :INPUT ACCEPT [29:3621] :OUTPUT ACCEPT [241:17235] :POSTROUTING ACCEPT [241:17235] -A POSTROUTING -s 172.16.1.61/32 -o eth0 -j SNAT --to-source 10.0.0.81 COMMIT # Completed on Thu Dec 12 11:57:05 2019 # Generated by iptables-save v1.4.21 on Thu Dec 12 11:57:05 2019 *filter :INPUT ACCEPT [3671:291941] :FORWARD ACCEPT [369:29004] :OUTPUT ACCEPT [2777:276150] COMMIT # Completed on Thu Dec 12 11:57:05 2019
m01 进行测试：
[root@m01 ~]# ping baidu.com PING baidu.com (220.181.38.148) 56(84) bytes of data. 64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=1 ttl=128 time=430 ms 64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=2 ttl=128 time=245 ms 64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=3 ttl=128 time=457 ms 64 bytes from 220.181.38.148 (220.181.38.148): icmp_seq=4 ttl=128 time=255 ms
实验完成，最核心的是iptables的配置，需要用用到nat表中的POSTROUTING
原文：https://www.cnblogs.com/Mercury-linux/p/12028008.html