| 1. 簡(jiǎn)介 |
| 2. 官方站點(diǎn)及列表 |
| 2.1 什么是NAT？ |
| 2.2 我為什么需要NAT？ |
| 3. NAT的兩種類(lèi)型 |
| 4. 從2.0和2.2內(nèi)核的快速轉(zhuǎn)換 |
| 4.1 我只想偽裝！救命！ |
| 4.2 關(guān)于ipmasqadm |
| 5. NAT可以控制什么 |
| 5.1 用iptables做簡(jiǎn)單的選擇 |
| 5.2 關(guān)于應(yīng)當(dāng)挑選哪些包來(lái)拆分（mangle）的要點(diǎn) |
| 6. 說(shuō)說(shuō)如何拆分包吧 |
| 6.1 源地址NAT |
| 6.1.1 偽裝 |
| 6.2 目的地址NAT |
| 6.2.1 重定向 |
| 6.3 深層次的映射 |
| 6.3.1 一個(gè)范圍內(nèi)多地址的選擇 |
| 6.3.2 建立空的NAT映射 |
| 6.3.3 標(biāo)準(zhǔn)NAT行為 |
| 6.3.4 內(nèi)部源端口映射 |
| 6.3.5 如果NAT失敗會(huì)怎樣？ |
| 6.3.6 多重映射，重疊和沖突 |
| 6.3.7 修改本地生成的連接的目標(biāo)地址 |
| 7. 特定的協(xié)議 |
| 8. 關(guān)于NAT的警告 |
| 9. 源地址NAT和選路 |
| 10. 同一網(wǎng)絡(luò)內(nèi)的目標(biāo)地址NAT |
| 11. 感謝 |
| 1. 簡(jiǎn)介 |
| 歡迎，親愛(ài)的讀者。 |
| 你將要深入迷人的（有時(shí)是令人厭煩的）NAT世界：網(wǎng)絡(luò)地址轉(zhuǎn)換，這篇HOWTO可以成為你的Linux2.4內(nèi)核及其以后的準(zhǔn)確指南。 |
| 在Linux2.4（內(nèi)核版本），引入了一個(gè)叫“netfilter”的部分，專(zhuān)門(mén)用于拆分（mangling） （IP）包的。他上一層提供NAT，是完全依靠以前的內(nèi)核制作的。 |
| （譯者注：mangle實(shí)在找不出什么合適的翻譯，抱歉） |
| (C) 2000 Paul `Rusty‘ Russell. Licensed under the GNU GPL. |
|
| 2、 官方站點(diǎn)及列表位置 |
這里有三個(gè)官方站點(diǎn)：
o Thanks to Filewatcher http://netfilter./.
o Thanks to The Samba Team and SGI http://netfilter./.
o Thanks to Harald Welte http://netfilter./.
你可以通過(guò)以下站點(diǎn)訪問(wèn)全部相關(guān)站點(diǎn)。
http://www./ and http://www./
以下是netfilter官方郵件列表
http://www./contact.html#list. |
|
| 2、1 什么是網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation）？ |
| 通常，，網(wǎng)絡(luò)中的（IP）包從他們的源（地址）出發(fā)（比如你家的電腦），到他們的目的地（比如www.），會(huì)經(jīng)過(guò)很多不同的連接（links）：例如我所在澳大利亞就有19個(gè)。這些連接不會(huì)真去修改你的包：他們只是照原樣傳出去。 |
| （譯者注：這里的links應(yīng)當(dāng)認(rèn)為是所有網(wǎng)絡(luò)節(jié)點(diǎn)，包括主機(jī)、路由器等。通常，路由器并不是原樣傳送包，它至少會(huì)修改其中一點(diǎn)：TTL） |
| 如果這些連接有一個(gè)做NAT，那么它（們）就會(huì)修改通過(guò)它們的包的源或者目標(biāo)（地址）。正如你猜象的那樣，這并非系統(tǒng)設(shè)計(jì)成那樣的，而是NAT做了一些事情。通常進(jìn)行NAT的連接（主機(jī)、服務(wù)器、路由器）會(huì)記住它是如何拆分包的，而當(dāng)另一頭響應(yīng)的包通過(guò)時(shí)，它會(huì)對(duì)響應(yīng)的包做相反的拆分，所以世界仍在運(yùn)轉(zhuǎn)。 |
| （譯者注：這一段的mangle應(yīng)該想象為修改更合適） |
|
| 2、2 我為什么要NAT？ |
| 在完美的世界里，你不需要。同時(shí)，主要的理由是： |
| 用調(diào)制解調(diào)器連接Internet |
| 在你撥號(hào)上網(wǎng)時(shí)，大部分ISP只會(huì)給你一個(gè)IP地址，你可以發(fā)送你想發(fā)送的任何源地址包，但是只有響應(yīng)這個(gè)（ISP給你的）地址的包才會(huì)返回。如果這種情況下你想有多臺(tái)不同的機(jī)器上網(wǎng)（比如一個(gè)家庭網(wǎng)絡(luò)），你就需要NAT。 |
| 這是現(xiàn)在NAT用得最多的功能，Linux世界的"masquerading"（偽裝）非常出名，我稱(chēng)之為SNAT（SNAT即Source NAT，源地址轉(zhuǎn)換），因?yàn)槟愀淖兞说谝粋€(gè)包的源地址。 |
| （譯者：關(guān)于IP數(shù)據(jù)報(bào)的第一個(gè)包等內(nèi)容，請(qǐng)參見(jiàn)各TCP/IP書(shū)籍） |
| 多（重）服務(wù)器 |
| 有時(shí)你想改變進(jìn)入網(wǎng)絡(luò)中的包的目標(biāo)地址（路由）。經(jīng)常的，這是因?yàn)椋ň拖裆厦娴睦樱阒挥幸粋€(gè)IP地址，但是你希望大家可以通過(guò)到那個(gè)“真實(shí)”的IP地址進(jìn)入內(nèi)部。如果你重寫(xiě)了進(jìn)入包的目標(biāo)地址，這樣就沒(méi)問(wèn)題了。這種NAT在以前的Linux版本中被稱(chēng)為端口轉(zhuǎn)發(fā)。 |
| 一個(gè)常見(jiàn)的變種是負(fù)載均衡，在一組機(jī)器上做映射。如果你要進(jìn)行嚴(yán)格的比例限制， 可能需要參考Linux Virtual Server。http:/// |
| 透明代理 |
| 有時(shí)你可能想要經(jīng)過(guò)你的Linux的包被送往本機(jī)的一個(gè)程序。這就需要用到透明代理了：代理是位于你的網(wǎng)絡(luò)和外部世界之間的一個(gè)程序，幫助二者進(jìn)行通信。之所以稱(chēng)為透明，是你的網(wǎng)絡(luò)根本不知道他在和代理交談，當(dāng)然直到代理沒(méi)有正常工作。 |
| Squid可以配置為干這項(xiàng)工作，在以前Linux版本中它被稱(chēng)作重定向或者透明代理。 |
|
| 3、 NAT的兩種類(lèi)型 |
| 我把NAT分為兩種不同的類(lèi)型：源NAT(SNAT)和目標(biāo)NAT(DNAT)。（譯者注：以下不再翻譯SNAT和DNAT，直接用Source NAT和Destination NAT） |
| Source NAT是指修改第一個(gè)包的源地址：也就是說(shuō)，改變連接的來(lái)源地。Source NAT會(huì)在包送出之前的最后一刻做好post-routing（動(dòng)作），偽裝是SNAT的一種特殊形式。 |
| Destination NAT 是指修改第一個(gè)包的目標(biāo)地址：也就是說(shuō)，改變連接的目的地。Destination NAT 總是在包進(jìn)入以后（馬上）進(jìn)行before routing（動(dòng)作）。端口轉(zhuǎn)發(fā)、負(fù)載均衡和透明代理都屬于DNAT。 |
|
| 4、 從2.0和2.2內(nèi)核的快速轉(zhuǎn)換 |
| 如果你還在為從2.0（ipfwadm）到2.2（ipchains）的轉(zhuǎn)換手忙腳亂的話(huà)，很抱歉。不過(guò)這也算是個(gè)喜憂(yōu)半?yún)⒌南ⅰ?/td>
|
| 首先，你可以輕松的使用ipchains和ipfwadm，就像從前一樣。不過(guò)你需要安裝最新發(fā)布的netfilter中的“ipchains.o”或者“ipfwadm.o”內(nèi)核模塊。它們是互斥的（你會(huì)被警告），而且不能和任何其他netfilter模塊結(jié)合。 |
| 一旦這其中某個(gè)模塊被載入，你可以像以前一樣使用ipchains和ipfwadm，不過(guò)仍有以下區(qū)別： |
| 用ipchains -M -S，或者用ipfwadm -M -s設(shè)置偽裝超時(shí)不再有效。因?yàn)槌瑫r(shí)已經(jīng)轉(zhuǎn)移到新的NAT構(gòu)架中，所以這不能做任何事。 |
| 在詳細(xì)的偽裝列表中，init_seq、delta和previous_delat字段始終為零。 |
| 歸零和列表計(jì)數(shù)器的 -Z -L不再有效：計(jì)數(shù)器不能被歸零。 |
| 這類(lèi)向后兼容的部分可能和大部分連接都不能有效配合：不要在你的公司網(wǎng)關(guān)中使用 |
| 開(kāi)發(fā)者們還要注意： |
| 無(wú)論是否使用偽裝，現(xiàn)在可以綁定61000 - 65095之間的端口。以前的偽裝代碼占用了這部分端口，因此不能使用。 |
| 尚未成文的“getsockname”，透明代理程序可以用來(lái)發(fā)現(xiàn)那些已不再工作的連接的真實(shí)目的地址。 |
| 尚未成文的“bind-to-foreign-address”同樣還未啟用：這個(gè)用于完整透明代理的設(shè)想。 |
|
| 4、1 我只想偽裝！救命！ |
| 這是絕大部分人想要的。如果你用PPP撥號(hào)上網(wǎng)來(lái)動(dòng)態(tài)得到IP （如果你不知道，那應(yīng)該就是的）你可能只想告訴你的機(jī)器，所有來(lái)自?xún)?nèi)部網(wǎng)絡(luò)的包，要看上去同PPP連接服務(wù)器上的包一樣。 |
| # 裝載NAT模塊（這取代了其他的） |
| modprobe iptable_nat |
| # 在NAT表中(-t nat)，路由后 POSTROUTING 加入一條規(guī)則(-A) |
| # 所有由ppp0送出的包(-o ppp0) 會(huì)被偽裝( -j MASQUERADE)。 |
| iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE |
| # 開(kāi)啟IP轉(zhuǎn)發(fā) |
| echo 1 > /proc/sys/net/ipv4/ip_forward |
| 注意這時(shí)你沒(méi)有做任何的包過(guò)濾：如果需要，參見(jiàn) the Packet Filtering HOWTO。 |
|
| 4、2 那么ipmasqadm呢？ |
| 這個(gè)完全取決于用戶(hù)，所以我不擔(dān)心向后兼容的問(wèn)題。你可以簡(jiǎn)單的使用“iptables -t nat”做端口轉(zhuǎn)發(fā)。例如，在Linux2.2你要做： |
| # 在2.2內(nèi)核，把指向1.2.3.4 8080端口的TCP包轉(zhuǎn)到192.168.1.1的80端口 |
| ipmasqadm portfw -a -P tcp -L 1.2.3.4 8080 -R 192.168.1.1 80 |
| 現(xiàn)在你可以這樣： |
| # 2.4內(nèi)核，在NAT（-t nat）表中加入一條規(guī)則，在路由之前（-A PREROUTING）指向 |
|
| # 1.2.3.4（-d 1.2.3.4）8080端口（--dport 8080）的TCP包（-p tcp）目標(biāo)地址（-j DNAT） |
| # 被重定向到 192.168.1.1的80端口（--to 192.168.1.1:80）。 |
| iptables -A PREROUTING -t nat -p tcp -d 1.2.3.4 --dport 8080 -j DNAT --to 192.168.1.1:80 |
|
| 5、NAT可以控制什么 |
| 你需要?jiǎng)?chuàng)建NAT規(guī)則，以告訴內(nèi)核哪些連接將被改變和如何改變。要做到這一點(diǎn)，我們要用到一個(gè)用處很多的iptables工具，并告訴它用指定的“-t nat”選項(xiàng)修改NAT表。 |
| NAT規(guī)則表包含三個(gè)稱(chēng)為“鏈”的列表：每個(gè)規(guī)則都按順序檢查包，直到有一個(gè)匹配。其中兩個(gè)被稱(chēng)為PREROUTING（用于Destination NAT，當(dāng)包進(jìn)入時(shí)檢查），POSTROUTING（用于Source NAT，包離開(kāi)時(shí)檢查），第三個(gè)叫OUTPUT，這里可以忽略。 |
| 如果我有足夠的藝術(shù)天分的話(huà)，下面的見(jiàn)圖會(huì)準(zhǔn)確的說(shuō)明上述概念： |
|
_____ _____
/ \ / PREROUTING -->[Routing ]----------------->POSTROUTING----->
\D-NAT/ [Decision] \S-NAT/
| ^
| |
| |
| |
| |
| |
| |
--------> Local Process ------
|
| 上述每一點(diǎn)，當(dāng)我們查看連接（中）的包時(shí)，如果是一個(gè)新的連接，我們查看 NAT表中相對(duì)應(yīng)的鏈，看看需要做些什么。其結(jié)果就會(huì)作為對(duì)這個(gè)連接后面所有包 的反應(yīng)。 |
| （譯者注：此處的連接是指一個(gè)HTTP會(huì)話(huà)之類(lèi)的連接，而非物理上的線(xiàn)路、節(jié)點(diǎn)） |
|
| 5、1 用iptables做簡(jiǎn)單的選擇 |
| 下面列出了iptables的一些標(biāo)準(zhǔn)選項(xiàng)。所有雙橫杠（--）的選項(xiàng)都是可以縮寫(xiě)的。只要iptables可以將它們與其他選項(xiàng)區(qū)分開(kāi)來(lái)就夠了。如果你的內(nèi)核是以模塊方式支持iptables的，你需要先用命令：insmod ip_tables來(lái)加載ip_tables.o |
| 這是最重要的選項(xiàng)表格選擇，“-t”。對(duì)所有NAT操作，你都需要使用‘-t nat‘以指定NAT表。其次重要的是‘-A‘，添加一個(gè)新的規(guī)則到鏈的末尾（例如‘-A POSTROUTING‘到POSTROUTING鏈），或者‘-I‘從最開(kāi)始插入一個(gè)規(guī)則（例如‘-I PREROUTING‘）。 |
| 你可以指定你想要進(jìn)行NAT的包的源（地址）（‘-s‘ 或者‘--source‘）和目的（地址）（‘-d‘ 或 ‘--destination‘）。這兩個(gè)選項(xiàng)可以跟單個(gè)IP地址（例如192.168.1.1），一個(gè)名字（例如www.），或者一個(gè)網(wǎng)絡(luò)地址（例如192.168.1.0/24或192.168.1.0/255.255.255.0[譯者：這二者是等價(jià)的，只是表示方法不同]）。 |
| 你可以指定進(jìn)入或送出的匹配接口。不過(guò)能否指定取決于你想要寫(xiě)入規(guī)則的那個(gè)鏈：PREROUTING鏈你只能選擇進(jìn)入接口，POSTROUTING你只能選擇送出接口。如果用錯(cuò)了，iptables會(huì)給出一個(gè)錯(cuò)誤。 |
|
| 5、2 關(guān)于應(yīng)當(dāng)挑選哪些包來(lái)拆分（mangle）的要點(diǎn) |
| 我上面說(shuō)了你可以指定源地址和目標(biāo)地址。如果忽略源地址選項(xiàng)，那么所有源地址都會(huì)被匹配，同樣，如果忽略目標(biāo)地址，所有目標(biāo)地址都將被匹配。 |
| 你還可以標(biāo)出一個(gè)指定的協(xié)議（‘-p‘或‘--protocol‘），諸如TCP或者UDP；那么只有這類(lèi)協(xié)議的包會(huì)被匹配。這么做的主要原因是指定了協(xié)議，就可以增加額外的選項(xiàng)：指定‘--source-port‘源端口和‘--destination-port‘目的端口選項(xiàng)（可縮寫(xiě)為‘-sport‘和‘-dport‘）。 |
| 這些選項(xiàng)讓你可以只匹配那些特定源端口及目標(biāo)端口的包。這些對(duì)于重定向Web請(qǐng)求（TCP 80或8080端口）而不影響其他包非常有用。 |
| 這些選項(xiàng)必須跟在‘-p‘選項(xiàng)后面（這可能會(huì)對(duì)加載該協(xié)議的連接庫(kù)有一定影響）。你可以使用端口號(hào)，或者來(lái)自/etc/serverices文件的（端口）名。 |
| 所有這些你可以對(duì)一個(gè)包作出的不同選擇都詳細(xì)的列在那詳細(xì)得可怕的使用手冊(cè)中了（man iptables）。（譯者注：參見(jiàn)iptables man page中文版） |
|
| 6、說(shuō)說(shuō)如何拆分包吧 |
| 現(xiàn)在我們知道如何選擇我們想要拆分的包了。為完成我們的規(guī)則，我們需要準(zhǔn)確的告訴內(nèi)核我們想要它如何做。 |
|
| 6、1 Source NAT |
| 你想要進(jìn)行Source NAT，改變連接的源地址。這在POSTROUIING鏈中完成，就在它將送出去的最后一刻。這是一個(gè)重要的細(xì)節(jié)，所有Linux本機(jī)上的其他任何東西（路由、包過(guò)濾）都會(huì)看見(jiàn)那個(gè)尚未改變的包。也意味著‘-o‘（送出接口）選項(xiàng)可用了。 |
| 用指定‘-j SNAT‘來(lái)進(jìn)行Source NAT，‘--to-source‘選項(xiàng)指定一個(gè)或一段IP地址，（加上）一個(gè)或一段可選的端口號(hào)（只能用于UDP和TCP協(xié)議）。 |
| # 改變?cè)吹刂窞?.2.3.4 |
# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4
|
| # 改變?cè)吹刂窞?.2.3.4、1.2.3.5或者1.2.3.6 |
# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4-1.2.3.6
|
| # 改變?cè)吹刂窞?.2.3.4，端口1-1023 |
| # iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to 1.2.3.4:1-1023 |
|
| 6、1、1 偽裝 |
| Source NAT的一個(gè)特例被稱(chēng)作偽裝。它只能被用于動(dòng)態(tài)分配IP地址的情況。例如標(biāo)準(zhǔn)撥號(hào)服務(wù)（靜態(tài)IP地址請(qǐng)用SNAT）。 |
| 你無(wú)需為IP偽裝明確指定源地址。它會(huì)使用包送出的那個(gè)接口（地址）作為源地址。不過(guò)更重要的是，如果那個(gè)線(xiàn)路關(guān)閉了的話(huà)，連接（無(wú)論如何都會(huì)丟失了）會(huì)被忘掉，意味著啟用新的IP后返回的包就會(huì)有點(diǎn)問(wèn)題了（指那些響應(yīng)掉線(xiàn)前發(fā)出的包的包）。 |
| # 偽裝所有由ppp0送出的東西 |
| # iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE |
|
| 6、2 Destination NAT |
| 用于PREROUTING鏈，包剛剛進(jìn)入的時(shí)候。意味著本機(jī)上的任何東西看見(jiàn)的都是“真正”的目的地（譯者注：即已修改過(guò)的目的地址）。也意味著‘-i‘（進(jìn)入接口）可用了。 |
| 用指定‘-j DNAT‘來(lái)進(jìn)行Destination NAT，‘--to-destination‘選項(xiàng)指定定一個(gè)或一段IP地址，（加上）一個(gè)或一段可選的端口號(hào)（只能用于UDP和TCP協(xié)議）。 |
| # 改變目標(biāo)地址為5.6.7.8 |
| # iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 5.6.7.8 |
| # 改變目標(biāo)地址為5.6.7.8、5.6.7.9或5.6.7.10 |
| # iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 5.6.7.8-5.6.7.10 |
| # 改變Web傳送的目標(biāo)地址為5.6.7.8，8080端口 |
| # iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth0 -j DNAT --to 5.6.7.8:8080 |
|
| 6、2、1 重定向 |
| Destination NAT的一個(gè)特例被稱(chēng)為重定向。它相當(dāng)于對(duì)進(jìn)入接口進(jìn)行DNAT的簡(jiǎn)單方便的一種形式。 |
| # 發(fā)送進(jìn)入的80端口的Web傳輸?shù)轿覀兊腟quid（透明）代理 |
| # iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128 |
| 注意Squid需要被配置為透明代理。 |
|
| 6、3 深層次的映射 |
| 還有一些可能大部分人不會(huì)用到的NAT的細(xì)節(jié)。 |
|
| 6、3、1 一個(gè)范圍內(nèi)多地址的選擇 |
| 如果指定了IP地址的范圍，那么機(jī)器會(huì)選擇當(dāng)前使用最少的那個(gè)IP地址。這就實(shí)現(xiàn)了最儉樸的負(fù)載均衡。 |
|
| 6、3、2 建立空的NAT映射。 |
| 你可以使用 ‘-j ACCEPT‘ 目標(biāo)讓連接通過(guò)，不需要NAT參與。 |
|
| 6、3、3 標(biāo)準(zhǔn)NAT行為 |
| 默認(rèn)行為是根據(jù)用戶(hù)給定的內(nèi)在約束規(guī)則，對(duì)連接作最小的改動(dòng)。也就是除非必要 不要進(jìn)行端口重映射。 |
|
| 6、3、4 內(nèi)部源端口映射 |
| 如果其他的連接覆蓋了一個(gè)連接，即使這個(gè)連接不需要使用NAT，源地址轉(zhuǎn)換仍會(huì)發(fā)生?？紤]IP偽裝，這種情況就非常普遍。 |
| 1、一個(gè)從192.168.1.1 1024端口到www.netscape.com 80端口的Web連接已建立 |
| 2、它被偽裝成IP偽裝服務(wù)器的IP地址（1.2.3.4） |
| 3、IP偽裝服務(wù)器試圖建立一個(gè)從www.netscape.com 80端口到1.2.3.4 1024端口的Web連接（它自己的外部接口IP地址） |
| 4、NAT代碼會(huì)修改第二個(gè)連接的源地址到1025，這樣兩個(gè)（連接）就不會(huì)沖突了。 |
| 當(dāng)這種內(nèi)部源地址映射發(fā)生時(shí)，端口分為三級(jí)： |
| 512以下的端口 |
| 512至1023之間的端口 |
| 1024以上的端口 |
| 內(nèi)部端口映射決不會(huì)被映射到（除此之外的）其他種類(lèi)。 |
|
| 6、3、5 如果NAT失敗會(huì)怎樣？ |
| 如果無(wú)法按照用戶(hù)請(qǐng)求的那樣，為連接建一個(gè)單獨(dú)的映射，（包）會(huì)被刪除。這也適用于那些無(wú)法被歸為任何連接的包，因?yàn)樗鼈兪腔蔚?，或者是主機(jī)內(nèi)存溢出了。 |
|
| 6、3、6 多重映射，重疊和沖突 |
| 你的NAT規(guī)則可以把包映射到相同的范圍。NAT代碼聰明到可以避免它們的沖突。因此，兩條規(guī)則把192.168.1.1和192.168.1.2的源地址映射都映射到1.2.3.4是沒(méi)有問(wèn)題的。 |
| 而且，你可以映射到真實(shí)的、已在使用的IP地址，只要那些地址也通過(guò)這個(gè)服務(wù)器。所以如果你分配到一個(gè)網(wǎng)絡(luò)（1.2.3.0/24），但有一個(gè)內(nèi)部網(wǎng)絡(luò)使用了這些地址，另一個(gè)使用的是私有地址192.168.1.0/24，你可以簡(jiǎn)單的NAT 192.168.1.0/24的源地址 到1.2.3.0網(wǎng)絡(luò)，不必?fù)?dān)心沖突。 |
| # iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to 1.2.3.0/24 |
| 相同的邏輯也適用于NAT服務(wù)器本身的地址。這就是得以偽裝工作的原因（由偽裝后的包和來(lái)自本身的“真實(shí)”的包共享一個(gè)接口地址）。 |
| 甚至，你可以映射相同的包到許多不同的目標(biāo)，它們會(huì)被共享。例如，如果你不希望映射任何東西到1.2.3.5，你可以這樣做： |
| # iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to 1.2.3.0-1.2.3.4 --to 1.2.3.6-1.2.3.254 |
|
| 6、3、7 修改本地生成的連接的目標(biāo)地址 |
| NAT代碼允許你插入DNAT規(guī)則到OUTPUT鏈，不過(guò)這在2.4中尚未完全支持（可以使用，但必須用新的配置選項(xiàng)，某些測(cè)試中的代碼。所以除非有人在瘋狂的寫(xiě)這部分代碼，我不相信它會(huì)很快實(shí)現(xiàn)）。 |
| 當(dāng)前的限制是你只能修改目標(biāo)地址到本機(jī)（例如‘-j DNAT --to 127.0.0.1‘）， 不能到任何其他機(jī)器，否則相應(yīng)可能不能夠被正確轉(zhuǎn)換。 |
|
| 7、 特定的協(xié)議 |
| 有些協(xié)議不希望被NAT。這些協(xié)議，兩種延伸必須指明：一個(gè)是協(xié)議的連接跟蹤，一個(gè)是真實(shí)NAT。 |
| 在發(fā)布的netfilter中，有可用的FTP模塊：ip_conntrack_ftp.o和ip_nat_ftp.o。如果你加載了任一種模塊到你的內(nèi)核（或者編譯進(jìn)去），那么任何關(guān)于FTP連接的NAT都是可行的。如果沒(méi)有，那么只能使用被動(dòng)FTP（passive ftp），而且如果做了一些Source NAT，它（指FTP）也許不能可靠的工作。 |
|
| 8、 關(guān)于NAT的警告 |
| 如果你對(duì)連接做NAT，所有雙向傳送的包（進(jìn)入和送出網(wǎng)絡(luò)的）必須通過(guò)NAT服務(wù)器，否則NAT服務(wù)器的工作可能不可靠。特別是，連接跟蹤代碼重組了分片，也就意味著不光是連接跟蹤不能可靠工作，甚至所有包都無(wú)法通過(guò)，因?yàn)榉制粊G棄。 |
|
| 9、 Source NAT 和路由 |
| 如果你要做SNAT，你必須注意所有機(jī)器被SNAT的包的回應(yīng)都將發(fā)送到NAT服務(wù)器。例如，如果你映射了一些送出的包的源地址為1.2.3.4，那么外部的路由器必須知道發(fā)送回應(yīng)包的地址到NAT服務(wù)器?？梢赃@樣做： |
| 1、如果你對(duì)本機(jī)地址做SNAT（路由等所有事情都正常），你不需要做任何事。 |
| 2、如果你在本地LAN上做SNAT到未用地址（例如，你映射為1.2.3.99，你的1.2.3.0/24網(wǎng)絡(luò)中未用的IP），你的NAT服務(wù)器需要像那個(gè)地址（99）一樣正確響應(yīng)ARP請(qǐng)求。最簡(jiǎn)單的辦法是建立一個(gè)IP別名，例如： |
| # ip address add 1.2.3.99 dev eth0 |
| 3、如果你對(duì)完全不同的地址做SNAT，你必須保證被SNAT的包到達(dá)的機(jī)器會(huì)返回NAT服務(wù)器。如果NAT服務(wù)器是它們的默認(rèn)網(wǎng)關(guān)，那么就已經(jīng)行了，否則你需要發(fā)布一個(gè)路由（如果運(yùn)行了路由協(xié)議）或者對(duì)每個(gè)機(jī)器手工添加路由。 |
|
| 10、 同一個(gè)網(wǎng)絡(luò)內(nèi)的Destination NAT。 |
| 如果你要對(duì)同一個(gè)網(wǎng)絡(luò)做端口轉(zhuǎn)發(fā)，你需要確認(rèn)所有以后的包和回應(yīng)包都通過(guò)NAT服務(wù)器（這樣它們才能被修改）。NAT代碼現(xiàn)在（自2.4.0-test6），會(huì)屏蔽掉同組的被NAT的包送出的ICMP重定向，不過(guò)收到的服務(wù)器會(huì)繼續(xù)嘗試直接響應(yīng)客戶(hù)。（不會(huì)理解這個(gè)回應(yīng)） |
| 經(jīng)典的情況是，內(nèi)部人員試圖訪問(wèn)你的“公用”Web服務(wù)器，而它實(shí)際上從公用地址（1.2.3.4）被DNAT到內(nèi)部機(jī)器（192.168.1.1），例如： |
| # iptables -t nat -A PREROUTING -d 1.2.3.4 -p tcp --dport 80 -j DNAT --to 192.168.1.1 |
| 一種辦法是運(yùn)行一臺(tái)內(nèi)部DNS服務(wù)器，它知道你的公用（外部）Web服務(wù)器的真實(shí)的（內(nèi)部）IP地址，并轉(zhuǎn)發(fā)所有其他請(qǐng)求到外部DNS服務(wù)器。也就是說(shuō)你的Web服務(wù)器能夠記錄真實(shí)的內(nèi)部IP地址。 |
| 另一種辦法是讓NAT服務(wù)器映射那些連接的源地址到它自己，讓服務(wù)器通過(guò)它發(fā)出響應(yīng)。例如，我們可以這樣做（假設(shè)NAT服務(wù)器內(nèi)部IP地址是192.168.1.250）： |
| # iptables -t nat -A POSTROUTING -d 192.168.1.1 -s 192.168.1.0/24 -p tcp --dport 80 -j SNAT --to 192.168.1.250 |
| 因?yàn)镻REROUTING規(guī)則會(huì)首先運(yùn)行，對(duì)內(nèi)部Web服務(wù)器來(lái)說(shuō)，包的去向早已確定。我們可以確定好源IP地址。 |
|
| 11. Thanks |
| Thanks first to WatchGuard, and David Bonn, who believed in the netfilter idea enough to support me while I worked on it. And to everyone else who put up with my ranting as I learnt about the ugliness of NAT, especially those who read my diary. |
| 首先感謝在我工作期間相信netfilter設(shè)想并支持我的WatchGuard和David Bonn。以及所有對(duì)NAT提出指正的朋友，尤其是讀過(guò)了我的日記的。 |
| Rusty. |
All pages ended here. |
|
|
|
|
|
|
|
|
