系统目录 › 网关 › NET－带防火墙的网络输出网关 (iptables)

NET－带防火墙的网络输出网关 (iptables)

最新版本：3.0.2-1

功能概述

NET 是为应用外部的网络提供传出访问的输出网关。 NET 接受来自其 in 终端上应用的流量，并通过其外部接口将流量转发到外部网络（例如 Internet）。

NET 具有只允许传出流量（连接和数据报）的防火墙；它会丢弃不适用于已建立的连接的传入流量，或者与数据报请求无关的传入流量。 可以对 NET 进行配置，以进一步限制可以通过它访问的 IP 地址集。

对于连接到其 in 终端的组件，NET 可充当默认网关和 DNS 服务器。

重要信息！ 只应将网关输出终端连接到的 NET 的 in 终端。

NET 用于访问在运行时确定主机名的应用外部的服务（例如：从 MX DNS 记录或需要遍历 Web 的搜索引擎机器人获得的邮件服务器地址）。

边界

资源

终端

外部接口已启用。 用于传出流量。 通过属性对其网络设置进行配置。

默认接口已启用。 用于维护（传入的 SSH 连接）。

属性

错误消息

当组件无法启动时，网格控制器的组件日志文件或系统日志中可能会出现下列消息：

• iptables 无法启动
• 无法启动命名服务
• 无法设置规则（退出代码 <code>）；使用备份规则集

无法设置备份规则集（退出代码 <code>）

典型用法

下图显示了使用 NET 为邮件转发访问 Internet 的简单邮件服务器应用的 NET 典型用法：

部件摘要

• in－输入网关组件，类 in
• mailman－SMTP 服务器组件，类 smtp
• out－输出网关组件，类 net

in 将入站连接传递到 mailman 服务器。 Mailman 为邮件请求提供服务，并通过 net 网关发送出站邮件。 对于每个消息，将分两步发送邮件：首先，为目标邮件服务器发送 DNS 请求，然后将消息发送到该目标服务器。 net 网关将 mailman 服务器发出的 DNS 请求转发到指定的 DNS 服务器，并与目标邮件服务器建立连接。

CA 3Tera AppLogic 未随附上例中显示的 smtp 组件。

下列章节介绍了几个典型用例中的 net 配置。

对标准域进行无限制访问

在该模式下，通过与配置常规网络网关极其相似的方式配置 NET（例如：使用 ISP 将 LAN 连接到 Internet）。

示例：

注意：许多公司配置了只能通过其专用 DNS 服务器解析的内部域（例如 .local 或 .localdomain）。 要使用这样的域，请将 dns1 和 dns2 属性配置为指向这些专用 DNS 服务器。 另请参阅以下可能的主机限制功能。

使用根 DNS 服务器对标准域进行无限制访问

在该模式下，NET 不需要特定的 DNS 服务器，而使用一组预配置的 Internet 根服务器。

示例：

重要信息！ 在该模式下，NET 需要访问根 DNS 服务器（否则，NET 将无法执行所有 DNS 查询）。 必须指定网关属性。

对专用域进行受限访问

在该模式下，NET 仅限于访问指定网络，允许和拒绝特定主机和子网。

示例：

重要信息！ 在该模式下，DNS 服务器必须在允许的主机集内。

说明

常规注释

一般而言，应连接到 NET 的 in 终端的唯一输出终端类型是网关输出。 这些输出与常规输出的不同之处在于，它们充当其组件的默认网关，允许与多台主机建立连接（与常规输出提供的单主机访问相反）。 在终端图形中，网关输出显示为蓝色方块，常规输出显示为红色箭头。

注意：

• 有关输出终端类型的更多信息，请参阅《ADL 语言参考指南》。
• 将常规输出连接到 NET 网关只会提供 DNS 解析。 这是 NET 网关的一种有效用法（本质上是用作 DNS 解析服务）。
• 如果 allowed_hosts 和 denied_hosts 列表中直接列出了某个主机，或者以子网一部分的形式列出了某个主机，NET 将会拒绝访问该主机。 NET 首先拒绝所有被拒绝的主机，然后只允许“允许的主机”列表中的主机（标准安全做法）。
• 如果您的应用无需访问整个网络，而只需要访问特定主机（例如 ftp.CA.com)，则最好使用 OUT 网关组件。

NET 不可用于向应用提供传入请求。 使用 IN 网关组件可处理传入请求。

组件内所用的开源和第三方软件

NET 除了使用其基类 LUX5 所用的第三方开源软件包之外，还使用下列第三方/开源软件包。