NAT是Network Address Translation的缩写,意即“网络地址转换”。

 

从本质上来说,是通过改动IP数据首部中的地址,以实现将一个地址转换成还有一个地址的技术。

 

当然在某种情况下。改动的不仅仅是IP首部的来源或目的地址。还包含其他要素。
随着接入Internet的计算机数量不断猛增。IP地址资源也就愈加显得捉襟见肘。这也是Ipv6出现的一大原因。

我们如今全部的IP地址是32位,意味着其代表的主机数量是有限的(2^32 ~= 42亿)。实际是不够用的(计算机、路由器、网络设备,PDA、无线网络电话等等都要占用IP地址)。

 

当初划分IP时。各保留一段私有IP区间。

私网IP(私有IP)是指这些IP仅仅能在企业内部使用,而无法应用在因特网上,简而言之,就是私有IP不能直接与Internet进行互相通信。

眼下NAT技术很多其他地被使用在将一个私网IP地址网段。转换为一个或几个公网IP地址,以实现私网与Internet的互相通讯。


Internet上的路由器如果看到这些私有IP的数据包,就会将其丢弃。

我们先来通过一个样例解释下这个问题:
在下图中,我们在192.168.0.0/24这个私有ip与10.0.1.0/24这个公有ip加了个路由器。如果10.0.1.200是公网ip。

【Linux 驱动】Netfilter/iptables (八) Netfilter的NAT机制_回送

首先。192.168.0.1的这台主机尝试訪问Internet上的1.2.3.4这台主机。因此。192.168.0.1主机会发送一个请求数据包给默认网关,这个数据包的源ip和目的ip如图中标记的1所看到的,来源ip是192.168.0.1,目的ip是1.2.3.4,因为是路由器的缘故,这个数据包的源ip和目的ip地址都不会发生改变,接着,路由器会转发这个数据包给1.2.3.4主机,当1.2.3.4主机收到请求数据包后,其源ip和目的ip如3所看到的。然后,1.2.3.4主机响应请求,回送一个数据包给192.168.0.1,可是该数据包中的目的ip是192.168.0.1。是一个私有ip。因此这个数据包不可能被回送给192.168.0.1,也就不能进行正常通信。

为了提高Internet上数据包的传输效率,Internet上的路由器通常不检查数据包中的“来源IP”,而仅仅会看目的端的IP,所以私有IP的主机能够发出请求,可是得不到回应。

 

这个问题的解决的方法就落到了我们今天要介绍的NAT机制上。仅仅要通过NAT的机制。就能够让成千上万台计算机同一时候通过一个公网IP来连接Internet。

以下我们大致介绍下NAT原理:

【Linux 驱动】Netfilter/iptables (八) Netfilter的NAT机制_ip地址_02

与上面路由器的差别在于,我们多个个NAT机制,NAT主机将这个数据包内的“来源IP”改成NAT主机上的公网IP(10.0.1.200)。如标记2所看到的,这样一来,该数据包的源ip和目的ip都变成了公有IP,同一时候。NAT主机会将这个数据包的信息记录起来。接下来。这个数据包发送到了1.2.3.4。该主机响应,发回响应数据报的时候。这个数据包的目的ip成了10.0.1.200这个公网ip。而不是192.168.0.1这个私有ip,这样该数据包就能够顺利的到达NAT主机,然后NAT主机依据之前记录下来的信息中找到当初NAT主机关于这个的转换记录,再转回来,该数据包的目的IP就成了真正的目的主机192.168.0.1这个私有ip。但此时已经不是在Internet上了,所以这个数据包是能够通过NAT主机回送给我们的私有IP主机的。

这样一来,通过NAT机制,就成功实现了私有IP通过NAT主机去訪问Internet上的资源。

 

除此之外,NAT机制应用在client,能够隐藏client的IP。由此达到保护client主机免于Internet的攻击行为。以及节省公用IP的使用量。应用在server端,则能够保护server端主机在Internet上的安全。

(须要知道,其实。单靠NAT机制并非万能的。)

对于NAT,有两个名字须要了解:那就是SNAT和DNAT,依据上面的分析以及这个名字,我们非常easy得知。SNAT就是变更Source IP的机制。DNAT就是变更 Destination IP的机制。

NAT种类繁多。有一对一、多对多、一对多和NATP等四种。

从以下这张图能够看出,NAT机制出如今PREROUTING、OUTPUT和POSTROUTING这三个chain中

【Linux 驱动】Netfilter/iptables (八) Netfilter的NAT机制_ip地址_03

以下以下图NAT的结构为例。介绍NAT的完整结构,并解释每一个链的用途。

 

 

【Linux 驱动】Netfilter/iptables (八) Netfilter的NAT机制_首部_04

1、 PREROUTING
该链的位置在整个NAT机制的最前面,该链的功能在于运行DNAT的任务。因此在运行DNAT时,差点儿是数据包一旦进入NAT机制,数据包内的 “Destination IP” 即被改动,而这个顺序问题在整个防火墙的设置上是非常重要的。
2、POSTROUTING
该链的任务是改动数据包内的“来源端IP”。也就是说。该链的功能用于运行SNAT的任务。该链位于整个NAT机制的最末端,因此当我们运行SNAT操作时,Source IP是在整个NAT机制的最末端才会被改动的。


3、OUTPUT
当本机进程生成数据包并向外发送时,这个数据包会先交给路由表来判决路由,接着数据包进入OUTPUT链,最后进入POSTROUTING链,然后离开本机。这个数据包是不可能经过PREROUTING链,前面说到PREROUTING链的功能是运行DNAT的任务。也就是改动目的端IP,所以由本机进程生成的数据包,须要通过OUTPUT链,而这个OUTPUT链的功能就是运行DNAT的任务

所以对于本机进程生成的数据包的DNAT规则是要放在OUTPUT链之内,而不是PREROUTING中。

 

关于NAT机制的分类。我们这里就不赘述了。后面我们将深入到Netfilter 源代码内部探索SNAT机制和DNAT机制。