(1) 充当网关
(2) 使用filter表的FORWARD链
注意的问题：
(1) 请求-响应报文均会经由FORWARD链，要注意规则的方向性
(2) 如果要启用conntrack机制，建议将双方向的状态为ESTABLISHED的报文直接放行
实验：禁止互联网上的主机访问内网主机
实验环境：3台机器
假设：172.17.252.162 互联网上的主机（只有桥接，断掉仅主机）
两个网卡192.168.10.200和172.17.253.132 防火墙主机
192.168.10.187 内部网络主机（只有仅主机，断掉桥接）
实验目的：允许内网主机访问互联网上主机，不允许互联网上主机访问内网主机
（1）添加网关，让172.17.252.0/16网段的主机和192.168.10.0/24网段的主机能够互相ping通
1.在172.17.252.162主机上
route add default gw 172.17.253.132
2.在192.168.10.187主机上
route add default gw 192.168.10.200
3.在防火墙上主机上开启转发功能
vim /etc/sysctl.conf
sysctl -p 使添加的内核参数生效
4.查看连个网段的主机能否互相ping通
（2）在防火墙主机上添加策略，使内网的主机能访问互联网上的主机，而互联网上的主机不能访问内网的主机
iptables -A FORWARD -s 192.168.10.0/24 -d 172.17.252.0/16 -m state --state NEW -j ACCEPT 在FORWARD链上允许源地址为192.168.10.0/24网段目标地址为172.17.252.0/16网段
iptables -I FORWARD -m state --state ESTABLISHED -j ACCEPT
iptables -A FORWARD -j REJECT 拒绝其他转发
（3）测试
在互联网主机上访问内部网络主机 不能ping通
在内网主机上ping互联网主机 能ping通
实验：NAT: network address translation 网络地址转换
1.SNAT 源网络地址转换
上一个实验可以实现内网主机访问互联网主机，不允许互联网主机访问内网主机，但是有一个巨大的问题，就是内网主机地址必须是公有地址，成本太高，还不安全
实验环境：
假设：192.168.6.52 互联网上的主机 ，只有一块网卡，桥接（公网ip）
192.168.66.128（仅主机）和192.168.6.143（桥接，公网ip） 防火墙主机，两块网卡，一块桥接，一块仅主机
192.168.66.177 内网的主机 ，一块网卡，仅主机（内网ip）
实验目的：现在要通过防火墙做源地址转换，将192.168.66.177转换为192.168.6.143，从而实现访问互联网上的主机
（1）在内网主机（192.168.66.177）上，将网关指向192.168.66.128
route add default gw 192.168.66.177
（2）在防火墙主机上做源地址转换,将内网的整个网段都替换成公网地址
iptables -t nat -A POSTROUTING -s 192.168.66.0/24 -j SNAT --to-source 192.168.6.143
（3）测试在192.168.6.52互联网上的主机上开一个web服务，然后用内网的主机192.168.66.177去访问，如果能访问到，说明实验成功
1.在192.168.6.52主机上
systemctl start httpd 开启httpd服务
2.在192.168.66.177主机上用curl命令去访问
（4）在互联网上的主机看看是谁访问的