NAT一般情況下分為SNAT，DNAT和PNAT

此篇主要講述的是使用iptables配置NAT，所以這3種NAT的區別和應用場景就簡單的說明一下

SNAT：源地址轉換

目標地址不變，重新改寫源地址，並在本機建立NAT表項，當資料返回時，根據NAT表將目的地址資料改寫為資料傳送出去時候的源地址，併發送給主機

目前大多都是解決內網使用者用同一個公網地址上網的情況

DNAT：目標地址轉換

和SNAT相反，源地址不變，重新修改目標地址，在本機建立NAT表項，當資料返回時，根據NAT表將源地址修改為資料傳送過來時的目標地址，併發給遠端主機

在DNAT的基礎上，可以根據請求資料包的埠做PNAT（埠轉換，也稱為埠對映），可以更句請求資料包不同的埠改寫不同的目標地址，從而傳送給不同的主機

這在用一個公網地址做不同服務時用的比較多，而且相對來說，用NAT的方式可以隱藏後端伺服器的真實地址，更加的安全

在使用iptables實現nat之前，再來回頭說說iptables的基礎原理

在這個模型中，完成nat的實現，資料要經過prerouting—forword--postrouting這3個鏈

分析SNAT的資料流向過程

首先進入prerouting，發現不是本網段的地址，而後開始查詢路由表（查詢路由的過程在prerouting和forword之間），於是經過forword鏈進行轉發，在通過postrouting時進行NAT轉換。

在這個流程中，NAT轉換的步驟在postrouting鏈上實現，之所以不再prerouting上做nat是因為資料包在進來之前，還不知道是本網段地址還是外網地址

再分析DNAT的資料流向過程

在DNAT中，NAT要在prerouting鏈上做。之前提到過，在資料進入主機後，路由選擇過程是在prerouting和forword之間的，所以應該先做地址轉換之後，再進行路由選擇，而後經過forword，最後從postrouting出去

理論說了一堆，接下來用實驗環境來驗證下（用dia畫的圖，比較搓。。。在ubuntu下將就用下了。）

其中pc1是我本機，系統是ubuntu12.04，NAT和PC2是vmware虛擬機器

nat主機網路配置

SNAT

在做nat之前，要先把路由功能開啟，不然資料包連forword都過不了

[[email protected]

新增nat表項

[[email protected] ~]# iptables -t nat -A POSTROUTING -s 172.16.93.0/24  -j SNAT --to-source 10.0.0.1

表示在postrouting鏈上，將源地址為172.16.93.0/24網段的資料包的源地址都轉換為10.0.0.1

查看下錶項

驗證效果：

先看下本機的網路配置

新增一條去往10.0.0.0/24網段的靜態路由

[email protected]:~$ sudo route add -net 10.0.0.0/24 gw 172.16.93.129

然後在主機上對vmnet1網段進行抓包

[email protected]:~$ sudo tcpdump -i vmnet1 –v

在主機上ping 10.0.0.2，觀察抓到的包

通過抓包可以發現，去往10.0.0.2的源地址為10.0.0.1，說明nat成功的將源地址改寫

  
 
以上是實驗驗證部分
 
 
 
這裡再介紹一個SNAT的常用選項：MASQUERADE
 
此選項可以用在動態獲取IP地址的主機，常用在家庭adsl撥號上
 
iptables -t nat -A POSTROUTING -s 172.16.93.0/24 -o eth1 -j MASQUEREADE
 
在這裡最好使用-o 介面來明確指定從哪個接口出去，MASQUEREADE會呼叫該介面的地址作為源地址出去（不指定介面也可以，不過在主機上有多個IP地址的情況下最好配置一下）
 
 DNAT
 
對於DNAT就不再做實驗驗證了，和SNAT是差不多的，這裡介紹下常用的幾種用法
 
 
 
在DNAT中，要把規則定義在PREROUTING鏈中
 
iptables -t nat -A PREROUTING -d 10.0.0.1 -j DNAT –-to-destination 172.16.93.1
 
此條規則將請求IP為10.0.0.1的資料包轉發到後端172.16.93.1主機上
 
 
 
iptables -t nat -A PREROUTING -d 10.0.0.1 -p tcp –-dport 80 -j DNAT –-to-destination 172.16.93.1
 
此條規則將請求IP為10.0.0.1並且埠為80的資料包轉發到後端的172.16.93.1主機上，通過定義不同的埠，就可以實現PNAT，將同一個IP不同的埠請求轉發到後端不同的主機
 
 
 
iptables -t nat -A PREROUTING -d 10.0.0.1 -p tcp –-dport 80 -j DNAT –-to-destination 172.16.93.1:8080
 
此條規則在上條規則的基礎上，發往後端的資料包的目標埠改為8080，在後端主機的web伺服器上使用8080埠接收訪問， 這樣能更好的保護後端主機
 
 
 
 
iptables系列NAT部分就寫到這裡，有什麼不明白的可以留言探討。下一篇將會講述使用iptables的7lay實現7層的訪問控制，也就是在第一篇中所說的閘道器代理型防火牆，可以實現控制qq，bt等應用程式的網路訪問