2）MASQUERADE就是针对上述场景而设计的，它的作用是，从服务器的网卡上，自动获取当前ip地址来做NAT。
比如下边的命令：
iptables -t nat -A POSTROUTING -s 10.8.0.0/255.255.255.0 -o eth0 -j MASQUERADE
如此配置的话，不用指定SNAT的目标ip了。
不管现在eth0的出口获得了怎样的动态ip，MASQUERADE会自动读取eth0现在的ip地址然后做SNAT出去
这样就实现了很好的动态SNAT地址转换
再看看几个运维实例设置：
1）限制本机的web服务器在周一不允许访问；
新请求的速率不能超过100个每秒；
web服务器包含了admin字符串的页面不允许访问：
web 服务器仅允许响应报文离开本机；
设置如下：
周一不允许访问
iptables -A INPUT -p tcp --dport 80 -m time ! --weekdays Mon -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -m state --state ESTABLISHED -j ACCEPT
新请求速率不能超过100个每秒
iptables -A INPUT -p tcp --dport 80 -m limit --limit 100/s -j ACCEPT
web包含admin字符串的页面不允许访问，源端口：dport
iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'admin' -j REJECT
web服务器仅允许响应报文离开主机,放行端口（目标端口）：sport
iptables -A OUTPUT -p tcp --dport 80 -m state --state ESTABLISHED -j ACCEPT
2)在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给 192.168.1.0网络中的主机访问；
数据下载请求的次数每分钟不得超过 5 个；
设置如下：
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time ! --weekdays 6,7 -m time --timestart 8:30 --timestop 18:00 -m connlimit --connlimit-above 5 -j ACCET
3）开放本机的ssh服务给192.168.1.1-192.168.1.100 中的主机；
新请求建立的速率一分钟不得超过2个；
仅允许响应报文通过其服务端口离开本机；
设置如下：
iptables -A INPUT -p tcp --dport 22 -m iprange --src-rang 192.168.1.1-192.168.1.100 -m limit --limit 2/m -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m iprange --dst-rang 192.168.1.1-192.168.1.100 -m state --state ESTABLISHED -j ACCEPT
4）拒绝 TCP 标志位全部为 1 及全部为 0 的报文访问本机；
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
5）允许本机 ping 别的主机；但不开放别的主机 ping 本机；
iptables -I INPUT -p icmp --icmp-type echo-request -j DROP
iptables -I INPUT -p icmp --icmp-type echo-reply -j ACCEPT
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT
或者下面禁ping操作：
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
Linux公社的RSS地址：https://www.linuxidc.com/rssFeed.aspx