nat

2021年01月15日 阅读数:2
这篇文章主要向大家介绍nat,主要内容包括基础应用、实用技巧、原理机制等方面,希望对大家有所帮助。

http://www.178linux.com/56515
NAT:(工做在网络和传输层) 过载技术html

https://www.cnblogs.com/xiaoshiwang/p/11977119.htmllinux

nat

nat

在任何一个IP数据包中,都会有Source IP Address与Destination IP Address这两个字段,数据包所通过的路由器也是根据这两个字段是断定数据包是由什么地方发过来的,它要将数据包发到什么地方去。而iptables的DNAT与SNAT就是根据这个原理,对Source IP Address与Destination IP Address进行修改。网络

而后,咱们再看看数据包在iptables中要通过的链(chain):ide

图中正菱形的区域是对数据包进行断定转发的地方。在这里,系统会根据IP数据包中的destination ip address中的IP地址对数据包进行分发。若是destination ip adress是本机地址,数据将会被转交给INPUT链。若是不是本机地址,则交给FORWARD链检测。htm

这也就是说,咱们要作的DNAT要在进入这个菱形转发区域以前,也就是在PREROUTING链中作,好比咱们要把访问202.103.96.112的访问转发到192.168.0.112上:blog

iptables -t nat -A PREROUTING -d 202.103.96.112 -j DNAT --to-destination 192.168.0.112

这个转换过程中,其实就是将已经达到这台Linux网关(防火墙)上的数据包上的destination ip address从202.103.96.112修改成192.168.0.112而后交给系统路由进行转发。ip

而SNAT天然是要在数据包流出这台机器以前的最后一个链也就是POSTROUTING链来进行操做路由

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source 58.20.51.66get

这个语句就是告诉系统把即将要流出本机的数据的source ip address修改为为58.20.51.66。这样,数据包在达到目的机器之后,目的机器会将包返回到58.20.51.66也就是本机。若是不作这个操做,那么你的数据包在传递的过程当中,reply的包确定会丢失。it

假如当前系统用的是ADSL/3G/4G动态拨号方式,那么每次拨号,出口IP都会改变,SNAT就会有局限性。

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE

重点在那个『 MASQUERADE 』!这个设定值就是『IP假装成为封包出去(-o)的那块装置上的IP』!无论如今eth0的出口得到了怎样的动态ip,MASQUERADE会自动读取eth0如今的ip地址而后作SNAT出去,这样就实现了很好的动态SNAT地址转换