技術文章 » 伺服器實現埠轉發的N種方式

伺服器實現埠轉發的N種方式

2023-04-11 18:02:01

簡介

在一些實際的場景裡，我們需要通過利用一些埠轉發工具，比如系統自帶的命令列工具或第三方小軟體，來繞過網路存取限制觸及目標系統。下文為大家總結了linux系統和windows系統埠轉發常用的一些方法。

注：Linux實現埠轉發需要核心支援，請確保核心引數net.ipv4.ip_forward值為1。

一、採用iptables實現

iptables是一個功能豐富的Linux防火牆工具，可以用於設定網路地址轉換（NAT）規則，從而實現埠轉發。

# 埠對映規則
iptables -t nat -A PREROUTING -p tcp --dport [目標埠] -j DNAT --to-destination [對映地址]:[對映埠]
iptables -t nat -A POSTROUTING -p tcp -d [對映地址] --dport [對映埠] -j SNAT --to-source [本地地址]

# 案例：將遠端主機 192.168.1.101 的 80 埠對映到原生的 8080 埠，輸入以下命令
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.101:80
iptables -t nat -A POSTROUTING -p tcp -d 192.168.1.101 --dport 80 -j SNAT --to-source [本地IP]
# 注意要將 [本地IP] 替換為本地 IP 地址。

# 檢視轉發規則
iptables -t nat --list --line-number

引數說明

  • -t nat：指定轉換表（nat 表）；
  • -A PREROUTING：指定要新增到哪個鏈中；
  • -p tcp ：指定協定為 TCP；
  • --dport [目標埠]：指定需要對映到的目標埠；
  • -j DNAT：指定使用目標地址轉換；
  • --to-destination [對映地址]:[對映埠]：指定目標地址和埠；
  • -A POSTROUTING：指定要新增到哪個鏈中；
  • -d [對映地址]：指定目標地址；
  • --dport [對映埠]：指定目標埠；
  • -j SNAT：指定使用 源地址轉換；
  • --to-source [本地地址]：指定本地地址。

二、採用firewalld實現

firewalld是另一個功能強大的Linux防火牆工具，也可以用於設定網路地址轉換（NAT）規則來實現埠轉發。

# 規則
firewall-cmd --zone=public --add-forward-port=port=[本機埠]:proto=[協定]:toaddr=[遠端主機IP]:toport=[遠端主機埠] --permanent

# 案例：將192.168.1.10的80埠轉發到本機的8080
firewall-cmd --zone=public --add-forward-port=port=8080:proto=tcp:toaddr=192.168.1.10:toport=80 --permanent
firewall-cmd --reload

# 檢視已設定的規則
firewall-cmd --list-all

引數說明

  • --zone=public：指定了這條規則的生效區域是public
  • --add-forward-port：指定了新增一條埠轉發規則，具體規則引數解釋如下：
    • port：需要轉發的埠
    • proto：協定型別，支援tcp、udp、icmp
    • toport：目標埠
    • toaddr：可選引數，轉發到指定IP地址

三、採用ssh隧道實現

利用SSH為TCP連結提供的隧道功能實現埠轉發。
# 規則
ssh -N -L [遠端埠]:[本地地址]:[本地埠] root@[遠端地址]

# 案例：將伺服器 172.20.150.199 上的 8000 埠對映到原生的 8888 埠
ssh -N -L 8000:localhost:8888 [email protected]

更多高階用法可存取 https://www.lixueduan.com/posts/linux/07-ssh-tunnel/

四、採用nc實現

NC（也稱作Netcat）是一個類Unix作業系統中的網路工具，有著強大的埠轉發功能。

# 格式
nc -lp [本地對映埠] -c "nc [遠端主機地址] [遠端主機埠]"

# 案例：將192.168.1.110的3306對映到本機的3000埠
nc -lp 3000 -c "nc 192.168.1.110 3306"

五、採用ncat實現 

ncat是一個多功能網路工具，可用於埠轉發。它是nc（netcat）的升級版本。

# 規則
ncat --sh-exec "ncat [遠端主機地址] [遠端主機埠]" -l [本地對映埠]  --keep-open

# 案例：將10.100.39.144的80埠轉發到本地8000
ncat --sh-exec "ncat 10.100.39.144 80" -l 8000 --keep-open

六、採用socat實現

socat是一款非常強大的網路工具，在實現埠對映時，可以用它來建立TCP連線，將本地埠對映到遠端機器上的一個埠。下面是使用socat實現埠對映的步驟：

# 規則
socat TCP-LISTEN:[本地對映埠],reuseaddr,fork TCP:[遠端主機地址]:[遠端主機埠]

# 案例: 將192.168.199.236的22埠，對映到本機的7777埠
socat TCP-LISTEN:7777,reuseaddr,fork TCP:192.168.199.236:22

七、Windows系統使用netsh實現

在 Windows 作業系統中，可以使用 netsh 命令實現網路埠轉發。以下是使用 netsh 實現埠轉發的步驟：

# 埠轉發
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=80 connectaddress=10.100.38.14 connectport=80
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=443 connectaddress=10.100.38.14 connectport=443

# 展示
netsh interface portproxy show v4tov4
偵聽 ipv4:                 連線到 ipv4:

地址            埠        地址            埠
--------------- ----------  --------------- ----------
0.0.0.0         80          10.100.38.14    80
0.0.0.0         443         10.100.38.14    443

# 刪除
netsh interface portproxy delete v4tov4 listenaddress=0.0.0.0 listenport=80