Linux NAT基本流程与实现技巧

Linux NAT基本流程与实现技巧

基于matches的NAT

Linux的NAT是基于match的，即在满足一系列条件的前提下执行SNAT或者DNAT，因此要求也就比较宽松，唯一的约束就是路由，即路由动作发生的时候，必须是基于最终的目标IP地址，因此DNAT必须发生在路由之前(对于本机发出的数据包，则在路由之后，然后重新路由)，如下图所示

附：Netfilter与ip_conntrack

Netfilter

Linux的协议栈仅仅实现了基本的协议操作，对应TCP/IP标准，Linux的协议栈仅仅实现了一个最小集。其余的所有扩展几乎（并非所有！还有一部分由net schedule实现）均由Netfilter来实现，包括：IP Firewall，IP NAT，IPSec，IPVS等。

ip_conntrack 

ip_conntrack是NAT实现的重中之重，Linux的NAT完全依赖ip_conntrack，依附于ip_conntrack之上。

基本数据结构：

值得注意的是，两个方向的五元组节点在confirm之后统一处在一个哈希表中，并不区别对待，只要使用一个五元组作为键查找到不管哪个方向的五元组节点，都可以找到ip_conntrack结构体本身。五元组节点除了包含五元组信息之外，还包含方向信息。

更多详情见请继续阅读下一页的精彩内容：

Linux如何做到将外来数据包DNAT到Loopback 

SNAT、DNAT——iptables防火墙基础策略汇总

Linux集群--简单实现LVS-DNAT及LVS-DR