DNAT（Destination Network Address Translation,目的地址轉換) 通常被叫做目的映謝。而SNAT（Source Network Address Translation，源地址轉換）通常被叫做源映謝。
這是我們在設置Linux網(wǎng)關(guān)或者防火墻時(shí)經(jīng)常要用來(lái)的兩種方式。以前對這兩個(gè)都解釋得不太清楚，現在我在這里解釋一下。
首先，我們要了解一下IP包的結構，如下圖所示：
在任何一個(gè)IP數據包中，都會(huì )有Source IP Address與Destination IPAddress這兩個(gè)字段，數據包所經(jīng)過(guò)的路由器也是根據這兩個(gè)字段是判定數據包是由什么地方發(fā)過(guò)來(lái)的，它要將數據包發(fā)到什么地方去。而iptables的DNAT與SNAT就是根據這個(gè)原理，對Source IP Address與Destination IP Address進(jìn)行修改。
然后，我們再看看數據包在iptables中要經(jīng)過(guò)的鏈（chain）：
圖中正菱形的區域是對數據包進(jìn)行判定轉發(fā)的地方。在這里，系統會(huì )根據IP數據包中的destination ipaddress中的IP地址對數據包進(jìn)行分發(fā)。如果destination ipadress是本機地址，數據將會(huì )被轉交給INPUT鏈。如果不是本機地址，則交給FORWARD鏈檢測。
這也就是說(shuō)，我們要做的DNAT要在進(jìn)入這個(gè)菱形轉發(fā)區域之前，也就是在PREROUTING鏈中做，比如我們要把訪(fǎng)問(wèn)202.103.96.112的訪(fǎng)問(wèn)轉發(fā)到192.168.0.112上：
iptables -t nat -A PREROUTING -d 202.103.96.112 -j DNAT --to-destination 192.168.0.112
這個(gè)轉換過(guò)程當中，其實(shí)就是將已經(jīng)達到這臺Linux網(wǎng)關(guān)（防火墻）上的數據包上的destination ip address從202.103.96.112修改為192.168.0.112然后交給系統路由進(jìn)行轉發(fā)。
而SNAT自然是要在數據包流出這臺機器之前的最后一個(gè)鏈也就是POSTROUTING鏈來(lái)進(jìn)行操作
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source 58.20.51.66
這個(gè)語(yǔ)句就是告訴系統把即將要流出本機的數據的source ipaddress修改成為58.20.51.66。這樣，數據包在達到目的機器以后，目的機器會(huì )將包返回到58.20.51.66也就是本機。如果不做這個(gè)操作，那么你的數據包在傳遞的過(guò)程中，reply的包肯定會(huì )丟失。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
