1? 概述
地址轉(zhuǎn)換(NAT)就是：路由器將私有地址轉(zhuǎn)換為公有地址使數(shù)據(jù)包能夠發(fā)到因特網(wǎng)上虱而，同時從因特網(wǎng)上接收數(shù)據(jù)包時积蔚，將公用地址轉(zhuǎn)換為私有地址可免。 在計算機(jī)網(wǎng)絡(luò)中，網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation或簡稱NAT龙优，也叫做網(wǎng)絡(luò)掩蔽或者IP掩蔽）是一種在IP數(shù)據(jù)包通過路由器或防火墻時重寫源IP地址或/和目的IP地址的技術(shù)羊异。
地址轉(zhuǎn)換NAT（Network Address Translation）又稱地址代理，它實(shí)現(xiàn)了私有網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)的功能彤断。這種技術(shù)被普遍使用在有多臺主機(jī)但只通過一個公有IP地址訪問因特網(wǎng)的私有網(wǎng)絡(luò)中野舶。根據(jù)規(guī)范，路由器是不能這樣工作的宰衙，但它的確是一個方便并得到了廣泛應(yīng)用的技術(shù)筒愚。當(dāng)然，NAT也讓主機(jī)之間的通信變得復(fù)雜菩浙，導(dǎo)致通信效率的降低巢掺。
本文將結(jié)合例子講解NAT技術(shù)的實(shí)現(xiàn)和相關(guān)原理
2? 環(huán)境準(zhǔn)備
準(zhǔn)備三臺機(jī)器
A:? 192.168.32.61當(dāng)內(nèi)網(wǎng)主機(jī)句伶，路由指向172.18.50.65
B:? 172.18.50.65? 192.168.32.65當(dāng)路由器，開啟路由轉(zhuǎn)發(fā)功能：echo 1 >/proc/sys/net/ipv4/ip_forward
C:172.18.50.73當(dāng)外網(wǎng)主機(jī)陆淀，指向網(wǎng)關(guān)172.18.50.65
3? NAT原理介紹和示例
路由器中考余，實(shí)現(xiàn)NAT轉(zhuǎn)換是由表nat實(shí)現(xiàn)的
nat表默認(rèn)centos7有四條鏈：PREROUTING，INPUT轧苫，OUTPUT楚堤，POSTROUTING
nat表默認(rèn)centos6有三條鏈：PREROUTING，OUTPUT含懊，POSTROUTING
請求報文：修改源/目標(biāo)IP身冬，由策略定義如何修改
響應(yīng)報文：修改源/目標(biāo)IP，根據(jù)跟蹤機(jī)制自動實(shí)現(xiàn)
在NAT技術(shù)中岔乔，主要有分為三個酥筝，SNAT,DNAT,PNAT，相關(guān)介紹和示例如下
3.1? SNAT：source NAT
SNAT雏门，改寫封包來源 IP 為某特定 IP 或 IP 范圍嘿歌，可以指定 port 對應(yīng)的范圍，進(jìn)行完此處理動作后茁影，將直接跳往下一個規(guī)則（mangleostrouting）宙帝。
一般僅轉(zhuǎn)換ip，一般情況下不轉(zhuǎn)換端口募闲，但是如果端口剛好已經(jīng)被使用了步脓，路由器也會一起轉(zhuǎn)換端口，此時路由器上沒有記錄連接浩螺，但是在客戶端和服務(wù)器上可以看到對應(yīng)的連接沪编。
讓本地網(wǎng)絡(luò)中的主機(jī)通過某一特定地址訪問外部網(wǎng)絡(luò)，實(shí)現(xiàn)地址偽裝
策略一般作用于POSTROUTING, INPUT鏈
.SNAT：固定IP
--to-source[ipaddr[-ipaddr]][:port[-port]]
--random：如果使用選項--random年扩，則端口映射將被隨機(jī)化
語法
iptables? -t nat?-A POSTROUTING -s LocalNET?! -dLocalNet -j SNAT --to-source ExtIP
#ExtIP公網(wǎng)地址
.示例：
#路由器上配置，表示所有內(nèi)網(wǎng)的地址192.168.32.0/24都通過SNAT轉(zhuǎn)換為地址172.18.50.65
iptables -t nat -APOSTROUTING -s 192.168.32.0/24 -j SNAT --to-source 172.18.50.65
3.2? MASQUERADE：
改寫封包來源 IP 為防火墻 NIC IP访圃，可以指定 port 對應(yīng)的范圍厨幻，進(jìn)行完此處理動作后，直接跳往下一個規(guī)則（mangleostrouting）腿时。這個功能與 SNAT 略有不同况脆，當(dāng)進(jìn)行 IP 偽裝時，不需指定要偽裝成哪個 IP批糟，IP 會從網(wǎng)卡直接讀格了，當(dāng)使用撥接連線時，IP 通常是由 ISP 公司的 DHCP 服務(wù)器指派的徽鼎，這個時候 MASQUERADE 特別有用盛末。
如果通過ADSL撥號的話弹惦，ip是不固定的。所以這個時候需要用網(wǎng)卡名來替換
--to-ports port[-port]
--random：如果使用選項--random悄但，則端口映射將被隨機(jī)化
iptables -t nat -A POSTROUTING -s LocalNET ! -d LocalNet -j MASQUERADE
.示例：
#以下語句在路由器上配置棠隐，表示將內(nèi)網(wǎng)的192.168.32.0/24網(wǎng)段的ip進(jìn)行NAT轉(zhuǎn)換，動作是MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.32.0/24 -j MASQUERADE
3.3DNAT：destination NAT
改寫封包目的地 IP 為某特定 IP 或 IP 范圍助泽，可以指定 port 對應(yīng)的范圍，進(jìn)行完此處理動作后嚎京，將會直接跳往下一個規(guī)則（filter:input 或 filter:forward）嗡贺。
把本地網(wǎng)絡(luò)中的主機(jī)上的某服務(wù)開放給外部網(wǎng)絡(luò)訪問(發(fā)布服務(wù)和端口映射)，但隱藏真實(shí)IP鞍帝。當(dāng)外部主機(jī)訪問服務(wù)器時诫睬，有路由器通過DNAT做地址轉(zhuǎn)換，從而訪問到本地的服務(wù)器
策略一般作用于PREROUTING, OUTPUT鏈膜眠，這里服務(wù)器上看到的訪問的ip不是路由器的公網(wǎng)ip岩臣，而是源客戶端的ip
語法
iptables -t nat -A PREROUTING -d ExtIP -p tcp|udp? --dport? PORT -j DNAT ?--to-destination ?InterSeverIP[:PORT]
.示例：
在路由器上配置
#以下語句表示當(dāng)訪問172.18.50.65的80端口時，將轉(zhuǎn)到內(nèi)部服務(wù)器：192.168.32.61進(jìn)行響應(yīng)宵膨。如果http服務(wù)器發(fā)布的端口是默認(rèn)的80架谎，那么轉(zhuǎn)發(fā)的目的地址不需要跟端口號
iptables -t nat -A PREROUTING -d172.18.50.65 -p tcp --dport 80 -j DNAT --to-destination 192.168.32.61
#以下語句表示當(dāng)訪問172.18.50.65的80端口時，將轉(zhuǎn)到內(nèi)部服務(wù)器：192.168.32.61進(jìn)行響應(yīng)辟躏。如果http服務(wù)器發(fā)布的端口是非標(biāo)準(zhǔn)端口谷扣，那么轉(zhuǎn)發(fā)的目的地址需要跟端口號，如8080
iptables -t nat -APREROUTING? ?-d 172.18.50.65 -p tcp --dport 80 -j DNAT--to-destination 192.168.32.61:8080
測試捎琐，直接訪問路由器的公網(wǎng)ip
curl??http://172.18.50.65
3.3? PNAT: port NAT
實(shí)現(xiàn)端口轉(zhuǎn)換会涎，端口和IP都進(jìn)行修改
PANT是通過動作轉(zhuǎn)發(fā)REDIRECT實(shí)現(xiàn)，將封包重新導(dǎo)向到另一個端口瑞凑，這個功能可以用來實(shí)作通透式porxy 或用來保護(hù) web 服務(wù)器末秃。
這個也是作用在nat表中。
可用于：PREROUTING籽御，OUTPUT或自定義鏈
通過改變目標(biāo)IP和端口练慕，將接受的包轉(zhuǎn)發(fā)至不同地址
示例：
#以下配置在提供httpd服務(wù)的機(jī)器上配置，表示當(dāng)有人訪問80端口時技掏，就把請求轉(zhuǎn)到81端口
iptables -t nat ?-A PREROUTING -d 192.168.32.61 ?-p tcp --dport 80 ?-j REDIRECT --to-ports 81
?
