使用iptables建立NAT

合集下载

iptables命令细解

iptables 指令语法iptables [-t table] command [match] [-j target/jump][-t table] 指定规则表-t 参数用来，内建的规则表有三个，分别是：nat、mangle 和filter，当未指定规则表时，则一律视为是filter。

个规则表的功能如下：nat：此规则表拥有PREROUTING 和POSTROUTING 两个规则链，主要功能为进行一对一、一对多、多对多等网址转换工作（SNAT、DNAT），这个规则表除了作网址转换外，请不要做其它用途。

mangle：此规则表拥有PREROUTING、FORWARD 和POSTROUTING 三个规则链。

除了进行网址转换工作会改写封包外，在某些特殊应用可能也必须去改写封包（TTL、TOS）或者是设定MARK（将封包作记号，以进行后续的过滤），这时就必须将这些工作定义在mangle 规则表中，由于使用率不高，我们不打算在这里讨论mangle 的用法。

filter：这个规则表是默认规则表，拥有INPUT、FORWARD 和OUTPUT 三个规则链，这个规则表顾名思义是用来进行封包过滤的处理动作（例如：DROP、LOG、ACCEPT 或REJECT），我们会将基本规则都建立在此规则表中。

command 常用命令列表：命令-A, --append范例iptables -A INPUT ...说明新增规则到某个规则链中，该规则将会成为规则链中的最后一条规则。

命令-D, --delete范例iptables -D INPUT --dport 80 -j DROPiptables -D INPUT 1说明从某个规则链中删除一条规则，可以输入完整规则，或直接指定规则编号加以删除。

命令-R, --replace范例iptables -R INPUT 1 -s 192.168.0.1 -j DROP说明取代现行规则，规则被取代后并不会改变顺序。

iptables防火墙FORWARD 和 NAT 规则的应用

服务器服务器系统； 5. 利用iptables命令查看结果。
允许整个 LAN 的转发（防火墙/ 网关在 eth0 上有一个内部 IP 地
址192.168.0.105）
查看是否设置成功
操作流程：
1. 利用命令查看制定链中的所有规则和网卡信息； 2. 利用命令设置防火墙允许整个 LAN 的转发； 3. 把来自 LAN 节点的请求都伪装成防火墙的外部设备的 IP 地址； 4. 把进入的 HTTP 请求转发到 192.168.0.127上的专用 Apache HTTP
服务器服务器系统； 5. 利用iptables命令查看结果。
查看配置结果
实验结论：
通过对iptables防火墙基本配置的学习，可以有效利用配置端口的方法来控制系统服务的应用，以确保服务器的可靠性和安全性。
nat规则的应用多数机构从它们的isp处得到数量有限的公网ip地址鉴于这种限额管理员必须积极寻求分享互联网服务的创建性方法而又不必把稀有的ip地址分配给lan上的每一台机器
iptables防火墙FORWARD 和 NAT 规则的应用
背景描述：
多数机构从它们的ISP处得到数量有限的公网IP地址，鉴于这种限额，管理员必须积极寻求分享互联网服务的创建性方法，而又不必把稀有的IP地址分配给LAN上的每一台机器。针对此情况，iptables防火墙提供了选路发送和转发政策，可以实现网络资源的有效利用。
服务器服务器系统； 5. 利用iptables命令查看结果。
把来自 LAN 节点的请求都伪装成防火墙的外部设
备的 IP 地址
操作流程：
1. 利用命令查看制定链中的所有规则和网卡信息； 2. 利用命令设置防火墙允许整个 LAN 的转发； 3. 把来自 LAN 节点的请求都伪装成防火墙的外部设备的 IP 地址； 4. 把进入的 HTTP 请求转发到 192.168.0.127上的专用 Apache HTTP

Linux命令高级技巧使用iptables命令进行防火墙配置

Linux命令高级技巧使用iptables命令进行防火墙配置Linux系统中，iptables是一个非常常用的命令，用于配置Linux操作系统的防火墙规则。

掌握iptables的高级技巧，可以帮助我们更好地保护系统安全和网络通信。

本文将介绍使用iptables命令进行防火墙配置的一些高级技巧，以帮助读者更好地理解和运用这个强大的工具。

一、什么是iptables命令iptables是一个在Linux内核中实现的防火墙工具，用于管理网络通信规则。

它允许我们定义输入、输出和转发数据包的规则，从而控制网络流量。

使用iptables命令，我们可以过滤和转发数据包，以及进行网络地址转换和端口转发等操作。

二、iptables配置文件在开始使用iptables命令之前，了解iptables的配置文件将有助于更好地理解和调整防火墙规则。

iptables的配置文件位于"/etc/sysconfig/iptables"路径下，可以使用文本编辑器打开进行编辑。

三、基本的iptables规则1. 允许特定IP地址访问若想允许特定IP地址访问服务器的某个端口，可以使用如下命令：```iptables -A INPUT -p tcp -s IP地址 --dport 端口号 -j ACCEPT```例如，若要允许IP地址为192.168.1.100的主机访问SSH端口（22），可以使用以下命令：```iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT```2. 允许特定IP地址范围访问如果要允许一个IP地址范围访问特定端口，可以通过指定源IP范围来实现。

例如，要允许192.168.1.0/24子网段中的主机访问SSH端口，可以执行如下命令：```iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT```此规则将允许192.168.1.0/24网段中的所有主机访问SSH端口。

防火墙和NAT

返回
19.2 NAT的地址概念
19.2.1 内部本地地址 19.2.2 内部全局地址 19.2.3 外部本地地址 19.2.4 外部全局地址返回结束
19.2.1 内部本地地址
内部本地地址（Inside Local IP Address）是指在内部网上分配到一个主机的IP地址。这个地址一般不是由网络信息中心NIC或服务提供商所分配的合法IP地址，而是私有地址。
返回
19.4 NAT配置实例
19.4.1 实例模型 19.4.2 配置NAT服务器 19.4.3 配置NAT客户端
返回
结束
19.4.1 实例模型
在Linux和Windows环境下配置NAT的实例模型如下。
返回
NAT转换
19.4.2 配置SNAT服务器
Source NAT在数据包送出之前改变数据包的源地址,参数如下: -j SNAT 定义SNAT --to-source 指定转换后的源地址[:port]，可以简写成--to [:port]，端口，是一个可选项，仅在指明TCP或UDP协议时使用 -o 出口接口（outgoing interface）举例：把数据包源地址转换为 1.2.3.4. iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to 1.2.3.4
如果单纯使用NAT技术，还会遇到以下方面的安全问题： NAT只对地址进行转换而不进行其他操作，因此，在建立了与外部网络的连接时，NAT不会阻止任何从外部返回的恶意破坏信息。虽然NAT隐藏了端到端的IP地址，但并不隐藏主机信息，这一问题是NAT技术明显的安全隐患。 Internet上的恶意攻击通常针对机器的“公用端口”，如HTTP的80 端口、FTP的21端口和POP的110端口等。虽然NAT可以屏蔽不向外部网络开放的端口，但针对面向公用端口的攻击，NAT是无能为力的。

iptables 配置nat masquerade规则

iptables 配置nat masquerade规则iptables是Linux操作系统中一个重要的防火墙软件，它可以用来配置和管理网络数据包的转发和过滤规则。

其中一项常见的配置是nat masquerade规则，用于实现网络地址转换（Network Address Translation，NAT），将内部局域网的私有IP地址转换为公共IP地址，实现内网与外网的通信。

本文将逐步解释iptables配置nat masquerade 规则的步骤和原理。

第一步：了解nat masquerade的原理在深入了解iptables配置nat masquerade规则之前，我们首先需要了解nat masquerade的原理。

当内部局域网上的设备通过路由器连接到互联网时，由于内网使用的是私有IP地址，而互联网上使用的是公共IP地址，所以需要进行地址转换。

nat masquerade将内部局域网的私有IP 地址转换为路由器的公共IP地址，使得内网设备可以正常访问互联网。

第二步：确认系统中是否已安装iptables在开始配置nat masquerade规则之前，我们需要确认系统中是否已经安装了iptables。

可以通过在终端执行以下命令来检查：shelliptables -V如果系统已安装iptables，将显示出iptables的版本号和其他信息。

如果系统未安装iptables，可以通过以下命令来安装：shellsudo apt-get install iptables请根据使用的Linux发行版选择相应的命令。

第三步：创建一个新的iptables链接下来，我们需要创建一个新的iptables链来存储nat masquerade规则。

可以使用以下命令创建一个名为"MASQUERADE"的新链：shellsudo iptables -t nat -N MASQUERADE这将在iptables的nat表中创建一个新的自定义链。

linux nat实现方式

linux nat实现方式在Linux系统中，Network Address Translation（网络地址转换）是一种常用的网络技术，它允许将内部网络中的私有IP地址与外部网络中的公有IP地址进行映射。

通过NAT，内部网络中的主机可以与外部网络进行通信，而外部网络无法直接访问内部网络中的主机。

实现NAT的方式有多种，其中一种常见的方式是使用iptables命令。

iptables是Linux系统中的一个工具集，用于配置Linux内核的网络层防火墙规则。

要实现NAT，首先需要配置iptables的转发规则。

可以通过以下命令来配置转发规则：```iptables -t nat -A POSTROUTING -o 外部网络接口 -j MASQUERADE```其中，外部网络接口指的是连接到外部网络的网络接口，例如eth0。

这条规则的作用是将从内部网络发出的数据包的源IP地址替换为外部网络接口的IP地址，从而实现地址转换。

除了配置转发规则，还需要配置iptables的过滤规则，以允许内部网络中的主机与外部网络进行通信。

可以使用以下命令来配置过滤规则：```iptables -A FORWARD -i 内部网络接口 -o 外部网络接口 -j ACCEPT iptables -A FORWARD -i 外部网络接口-o 内部网络接口-m state --state RELATED,ESTABLISHED -j ACCEPT```其中，内部网络接口指的是连接到内部网络的网络接口，例如eth1。

第一条规则的作用是允许从内部网络到外部网络的数据包通过，第二条规则的作用是允许从外部网络到内部网络的已建立或相关的数据包通过。

在配置完iptables规则后，还需要开启IP转发功能，以使Linux系统能够实现NAT。

可以通过修改/sys文件系统中的配置文件来开启IP转发功能：```echo 1 > /proc/sys/net/ipv4/ip_forward```这样，就完成了Linux系统中NAT的实现。

Linux命令高级技巧使用iptables进行端口转发和NAT

Linux命令高级技巧使用iptables进行端口转发和NAT在Linux系统中，iptables是一个非常强大的工具，用于配置和管理网络包过滤规则。

除了基本的网络包过滤功能，iptables还可以用于端口转发和网络地址转换(NAT)。

本文将介绍如何使用iptables进行端口转发和NAT，以及一些高级技巧。

1. 端口转发端口转发是一种将网络流量从一个端口转发到另一个端口的技术。

它在网络中广泛应用于代理服务器、端口映射、负载均衡等场景。

下面是使用iptables进行端口转发的示例命令：```iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.0.100:80```在上述命令中，`-t nat`表示我们要操作的是`nat`表，`-A PREROUTING`表示将规则添加到`PREROUTING`链中，`-p tcp --dport 8080`表示匹配TCP协议和目标端口号8080，`-j DNAT`表示采取目标网络地址转换，`--to-destination 192.168.0.100:80`表示将数据包转发到目标IP地址192.168.0.100的80端口。

2. 网络地址转换(NAT)网络地址转换(NAT)是一种将私有网络中的IP地址转换为公共网络中的IP地址的技术。

它广泛应用于家庭网络和企业网络中，允许多台设备共享一个公共IP地址。

下面是使用iptables进行NAT的示例命令：```iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE```在上述命令中，`-t nat`表示我们要操作的是`nat`表，`-A POSTROUTING`表示将规则添加到`POSTROUTING`链中，`-s192.168.0.0/24`表示源IP地址为192.168.0.0/24的网络，`-o eth0`表示出去的网络接口为eth0，`-j MASQUERADE`表示使用动态地址转换。

Linux iptables防火墙设置与NAT服务配置

Linux iptables防火墙设置与NAT服务配置摘要：linux教程,NAT服务器,iptables防火墙设置与NAT服务配置, 防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它能增强机构内部网络的安全性。

一.防火墙的概述(一).防火墙的简介防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它能增强机构内部网络的安全性。

它通过访问控制机制，确定哪些内部服务允许外部访问，以及允许哪些外部请求可以访问内部服务。

它可以根据网络传输的类型决定IP包是否可以传进或传出内部网。

防火墙通过审查经过的每一个数据包，判断它是否有相匹配的过滤规则，根据规则的先后顺序进行一一比较，直到满足其中的一条规则为止，然后依据控制机制做出相应的动作。

如果都不满足，则将数据包丢弃，从而保护网络的安全。

通过使用防火墙可以实现以下功能：可以保护易受攻击的服务；控制内外网之间网络系统的访问；集中管理内网的安全性，降低管理成本；提高网络的保密性和私有性；记录网络的使用状态，为安全规划和网络维护提供依据。

(二).防火墙的分类防火墙技术根据防范的方式和侧重点的不同而分为很多种类型，但总体来讲可分为包过滤防火墙和代理服务器两种类型。

(三).防火墙的工作原理1．包过滤防火墙工作原理①数据包从外网传送到防火墙后，防火墙抢在IP层向TCP层传送前，将数据包转发给包检查模块进行处理。

②首先与第一个过滤规则比较。

③如果与第一个模块相同，则对它进行审核，判断是否转发该数据包，这时审核结果是转发数据包，则将数据包发送到TCP层进行处理，否则就将它丢弃。

④如果与第一个过滤规则不同，则接着与第二个规则相比较，如果相同则对它进行审核，过程与③相同。

⑤如果与第二个过滤规则不同，则继续与下一个过滤规则比较，直到与所有过滤规则比较完成。

要是所有过滤规则都不满足，就将数据包丢弃。

2．代理服务型防火墙工作原理代理服务型防火墙是在应用层上实现防火墙功能的。

iptable 基础配置详细教程

规则链：
1.INPUT——进来的数据包应用此规则链中的策略
2.OUTPUT——外出的数据包应用此规则链中的策略
3.FORWARD——转发数据包时应用此规则链中的策略
4.PREROUTING——对数据包作路由选择前应用此链中的规则
（记住！所有的数据包进来的时侯都先由这个链处理）
5.POSTROUTING——对数据包作路由选择后应用此链中的规则
PREROUTING
OUTPUT
FORWARD
INPUT
POSTROUTING
4. Raw表
Raw表用于处理异常，它具有2个内建链：
PREROUTING chain
OUTPUT chain
5.小结
下图展示了iptables的三个内建表：
Iptables采用“表”和“链”的分层结构。在REHL4中是三张表五个链。现在REHL5成了四张表五个链了，不过多出来的那个表用的也不太多，所以基本还是和以前一样。下面罗列一下这四张表和五个链。注意一定要明白这些表和链的关系及作用。
规则表：
1.filter表——三个链：INPUT、FORWARD、OUTPUT
作用：过滤数据包内核模块：iptables_filter.
2.Nat表——三个链：PREROUTING、POSTROUTING、OUTPUT
作用：用于网络地址转换（IP、端口）内核模块：iptable_nat
3.Mangle表——五个链：PREROUTING、POSTROUTING、INPUT、OUTPUT、FORWARD
Chain FORWARD (policy ACCEPT)
num target prot opt source destination

iptable_nat

两小时玩转 iptables摘自Chinaunix讲座cu.platinum@2006.03.18主题大纲1. 概述2. 框架图3. 语法4. 实例分析5. 网管策略6. FAQ7. 实战1. 概述2.4.x、2.6.x 内核netfilter/iptables2.1 框架图-->PREROUTING-->[ROUTE]-->FORWARD-->POSTROUTING--> mangle | mangle ^ manglenat | filter | nat| || |v |INPUT OUTPUT| mangle ^ mangle| filter | natv ------>local------->| filter2.2 链和表}表filter：顾名思义，用于过滤的时候nat：顾名思义，用于做 NAT 的时候NAT：Network Address Translator}链INPUT：位于 filter 表，匹配目的 IP 是本机的数据包FORWARD：位于 filter 表，匹配穿过本机的数据包， PREROUTING：位于 nat 表，用于修改目的地址（DNAT） POSTROUTING：位于 nat 表，用于修改源地址（SNAT）3.1 iptables 语法概述}iptables [-t 要操作的表]<操作命令>[要操作的链][规则号码][匹配条件][-j 匹配到以后的动作]3.2 命令概述}操作命令（-A、-I、-D、-R、-P、-F）}查看命令（-[vnx]L）3.2.1 -A-A <链名>APPEND，追加一条规则（放到最后）例如：iptables -t filter -A INPUT -j DROP在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则）匹配所有访问本机 IP 的数据包，匹配到的丢弃3.2.2 -I-I <链名> [规则号码]INSERT，插入一条规则例如：iptables -I INPUT -j DROP在 filter 表的 INPUT 链里插入一条规则（插入成第 1 条）iptables -I INPUT 3 -j DROP在 filter 表的 INPUT 链里插入一条规则（插入成第 3 条）注意：1、-t filter 可不写，不写则自动默认是 filter 表2、-I 链名[规则号码]，如果不写规则号码，则默认是 13、确保规则号码≤（已有规则数 + 1），否则报错3.2.3 -D-D <链名> <规则号码 | 具体规则内容>DELETE，删除一条规则例如：iptables -D INPUT 3（按号码匹配）删除 filter 表 INPUT 链中的第三条规则（不管它的内容是什么）删除 filter 表 INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则（不管其位置在哪里）注意：1、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条2、按号码匹配删除时，确保规则号码≤已有规则数，否则报错3、按内容匹配删除时，确保规则存在，否则报错3.2.4 -R-R <链名> <规则号码> <具体规则内容>REPLACE，替换一条规则例如：iptables -R INPUT 3 -j ACCEPT将原来编号为 3 的规则内容替换为“-j ACCEPT”注意：确保规则号码≤已有规则数，否则报错3.2.5 -P-P <链名> <动作>POLICY，设置某个链的默认规则例如：iptables -P INPUT DROP设置 filter 表 INPUT 链的默认规则是 DROP注意：当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理3.2.6 -F-F [链名]FLUSH，清空规则例如：iptables -F INPUT清空 filter 表 INPUT 链中的所有规则iptables -t nat -F PREROUTING清空 nat 表 PREROUTING 链中的所有规则注意：1、-F 仅仅是清空链中规则，并不影响 -P 设置的默认规则2、-P 设置了 DROP 后，使用 -F 一定要小心！！！3、如果不写链名，默认清空某表里所有链里的所有规则3.2.7 -[vxn]L-L [链名]LIST，列出规则v：显示详细信息，包括每条规则的匹配包数量和匹配字节数x：在 v 的基础上，禁止自动单位换算（K、M）n：只显示 IP 地址和端口号码，不显示域名和服务名称例如：iptables -L粗略列出 filter 表所有链及所有规则iptables -t nat -vnL用详细方式列出 nat 表所有链的所有规则，只显示 IP 地址和端口号iptables -t nat -vxnL PREROUTING用详细方式列出 nat 表 PREROUTING 链的所有规则以及详细数字，不反解3.3 匹配条件}流入、流出接口（-i、-o）}来源、目的地址（-s、-d）}协议类型（-p）}来源、目的端口（--sport、--dport）3.3.1 按网络接口匹配-i <匹配数据进入的网络接口>例如：-i eth0匹配是否从网络接口 eth0 进来-i ppp0匹配是否从网络接口 ppp0 进来-o 匹配数据流出的网络接口例如：-o eth0-o ppp03.3.2 按来源目的地址匹配-s <匹配来源地址>可以是 IP、NET、DOMAIN，也可空（任何地址）例如：-s 192.168.0.1 匹配来自 192.168.0.1 的数据包-s 192.168.1.0/24 匹配来自 192.168.1.0/24 网络的数据包-s 192.168.0.0/16 匹配来自 192.168.0.0/16 网络的数据包-d <匹配目的地址>可以是 IP、NET、DOMAIN，也可以空例如：-d 202.106.0.20 匹配去往 202.106.0.20 的数据包-d 202.106.0.0/16 匹配去往 202.106.0.0/16 网络的数据包-d 匹配去往域名的数据包3.3.3 按协议类型匹配-p <匹配协议类型>可以是 TCP、UDP、ICMP 等，也可为空例如：-p tcp-p udp-p icmp --icmp-type 类型ping: type 8 pong: type 03.3.4 按来源目的端口匹配--sport <匹配源端口>可以是个别端口，可以是端口范围例如：--sport 1000 匹配源端口是 1000 的数据包--sport 1000:3000 匹配源端口是 1000-3000 的数据包（含1000、3000） --sport :3000 匹配源端口是 3000 以下的数据包（含 3000）--sport 1000: 匹配源端口是 1000 以上的数据包（含 1000）--dport <匹配目的端口>可以是个别端口，可以是端口范围例如：--dport 80 匹配源端口是 80 的数据包--dport 6000:8000 匹配源端口是 6000-8000 的数据包（含6000、8000） --dport :3000 匹配源端口是 3000 以下的数据包（含 3000）--dport 1000: 匹配源端口是 1000 以上的数据包（含 1000）注意：--sport 和 --dport 必须配合 -p 参数使用3.3.5 匹配应用举例1、端口匹配-p udp --dport 53匹配网络中目的地址是 53 的 UDP 协议数据包2、地址匹配-s 10.1.0.0/24 -d 172.17.0.0/16匹配来自 10.1.0.0/24 去往 172.17.0.0/16 的所有数据包3、端口和地址联合匹配注意：1、--sport、--dport 必须联合 -p 使用，必须指明协议类型是什么2、条件写的越多，匹配越细致，匹配范围越小3.4 动作（处理方式）}ACCEPT}DROP}SNAT}DNAT}MASQUERADE3.4.1 -j ACCEPT-j ACCEPT通过，允许数据包通过本链而不拦截它类似 Cisco 中 ACL 里面的 permit例如：iptables -A INPUT -j ACCEPT允许所有访问本机 IP 的数据包通过3.4.2 -j DROP-j DROP丢弃，阻止数据包通过本链而丢弃它类似 Cisco 中 ACL 里的 deny例如：iptables -A FORWARD -s 192.168.80.39 -j DROP阻止来源地址为 192.168.80.39 的数据包通过本机3.4.3 -j SNAT-j SNAT --to IP[-IP][:端口-端口]（nat 表的 POSTROUTING 链）源地址转换，SNAT 支持转换为单 IP，也支持转换到 IP 地址池（一组连续的 IP 地址）例如：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 \-j SNAT --to 1.1.1.1将内网 192.168.0.0/24 的原地址修改为 1.1.1.1，用于 NATiptables -t nat -A POSTROUTING -s 192.168.0.0/24 \-j SNAT --to 1.1.1.1-1.1.1.10同上，只不过修改成一个地址池里的 IP3.4.4 -j DNAT（一组连续的 IP 地址）例如：iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \-j DNAT --to 192.168.0.1把从 ppp0 进来的要访问 TCP/80 的数据包目的地址改为 192.168.0.1iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 \-j DNAT --to 192.168.0.2:80iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \-j DNAT --to 192.168.0.1-192.168.0.103.4.5 -j MASQUERADE-j MASQUERADE动态源地址转换（动态 IP 的情况下使用）例如：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE 将源地址是 192.168.0.0/24 的数据包进行地址伪装3.5 附加模块}按包状态匹配（state）}按来源 MAC 匹配（mac）}按包速率匹配（limit）}多端口匹配（multiport）3.5.1 state-m state --state 状态状态：NEW、RELATED、ESTABLISHED、INV ALIDNEW：有别于 tcp 的 synESTABLISHED：连接态RELATED：衍生态，与 conntrack 关联（FTP）INV ALID：不能被识别属于哪个连接或没有任何状态例如：iptables -A INPUT -m state --state RELATED,ESTABLISHED \ -j ACCEPT3.5.2 mac-m mac --mac-source MAC匹配某个 MAC 地址例如：iptables -A FORWARD -m --mac-source xx:xx:xx:xx:xx:xx \-j DROP阻断来自某 MAC 地址的数据包，通过本机MAC 地址不过路由，不要试图去匹配路由后面的某个 MAC 地址3.5.3 limit-m limit --limit 匹配速率 [--burst 缓冲数量]用一定速率去匹配数据包例如：iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s \-j ACCEPTiptables -A FORWARD -d 192.168.0.1 -j DROP注意：limit 仅仅是用一定的速率去匹配数据包，并非“限制”3.5.4 multiport-m multiport <--sports|--dports|--ports> 端口1[,端口2,..,端口n]一次性匹配多个端口，可以区分源端口，目的端口或不指定端口例如：iptables -A INPUT -p tcp -m multiports --ports \21,22,25,80,110 -j ACCEPT注意：必须与 -p 参数一起使用4. 实例分析}单服务器的防护}如何做网关}如何限制内网用户}内网如何做对外服务器}连接追踪模块4.1 单服务器的防护}弄清对外服务对象}书写规则网络接口 lo 的处理状态监测的处理协议 + 端口的处理实例：一个普通的 web 服务器iptables -A INPUT -i lo -j ACCEPTiptables -A INPUT -p tcp -m multiport 22,80 -j ACCEPTiptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P INPUT DROP注意：确保规则循序正确，弄清逻辑关系，学会时刻使用 -vnL4.2 如何做网关}弄清网络拓扑}本机上网}设置 nat启用路由转发地址伪装 SNAT/MASQUERADE实例：ADSL 拨号上网的拓扑echo "1" > /proc/sys/net/ipv4/ip_forwardiptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 \-j MASQUERADE4.3 如何限制内网用户}过滤位置 filer 表 FORWARD 链}匹配条件-s -d -p --s/dport}处理动作 ACCEPT DROP实例：iptables -A FORWARD -s 192.168.0.3 -j DROPiptables -A FORWARD -m mac --mac-source 11:22:33:44:55:66 \ -j DROPiptables -A FORWARD -d -j DROP4.4 内网如何做对外服务器}服务协议（TCP/UDP）}对外服务端口}内部服务器私网 IP}内部真正服务端口实例：iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \-j DNAT --to 192.168.1.1iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 \-j DNAT --to 192.168.1.2:804.5 连接追踪模块}为什么要使用连接追踪模块FTP 协议的传输原理传统防火墙的做法}如何使用4.5.1 FTP 协议传输原理}使用端口command portdata port主动模式（ACTIVE）被动模式（PASSIVE）主动模式client serverxxxx |---|----------|-->| 21yyyy |<--|----------|---| 20FW1 FW2被动模式client serverxxxx |---|----------|--->| 21yyyy |---|----------|--->| zzzzFW1 FW24.5.2 传统防火墙的做法}只使用主动模式，打开 TCP/20}防火墙打开高范围端口}配置 FTP 服务，减小被动模式端口范围4.5.3 如何使用连接追踪模块modprobe ipt_conntrack_ftpmodprobe ipt_nat_ftpiptables -A INPUT -p tcp --dport 21 -j ACCEPTiptables -A INPUT -m state --state \RELATED,ESTABLISHED -j ACCEPTiptables -P INPUT DROP5. 网管策略}怕什么}能做什么}让什么 vs 不让什么}三大“纪律”五项“注意”}其他注意事项5.1 必加项echo "1" > /proc/sys/net/ipv4/ip_forwardecho "1" > /proc/sys/net/ipv4/tcp_syncookiesecho "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses modprobe ip_conntrack_ftpmodprobe ip_nat_ftp5.2 可选方案堵：iptables -A FORWARD -p tcp --dport xxx -j DROPiptables -A FORWARD -p tcp --dport yyy:zzz -j DROP通：iptables -A FORWARD -p tcp --dport xxx -j ACCEPTiptables -A FORWARD -p tcp --dport yyy:zzz -j ACCEPTiptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P FORWARD DROP5.3 三大“纪律”五项“注意”}三大“纪律”——专表专用filternatmangle}五项“注意”——注意数据包的走向PREROUTINGINPUTFORWARDOUTPUTPOSTROUTING5.4 其他注意事项}养成好的习惯iptables -vnLiptables -t nat -vnLiptables-save}注意逻辑顺序iptables -A INPUT -p tcp --dport xxx -j ACCEPTiptables -I INPUT -p tcp --dport yyy -j ACCEPT}学会写简单的脚本6. FAQ.1Q：我设置了iptables -A OUTPUT -d 202.xx.xx.xx -j DROP为何内网用户还是可以访问那个地址？A：filter 表的 OUTPUT 链是本机访问外面的必经之路，内网数据不经过该链Q：我添加了iptables -A FORWARD -d 202.xx.xx.xx -j DROP为何内网用户还是可以访问那个地址？A：检查整个规则是否存在逻辑错误，看是否在 DROP 前有 ACCEPTQ：iptables -t nat -A POSTROUTING -i eth1 -o eth2 -j MASQUERADE 这条语句为何报错？A：POSTROUTING 链不支持“流入接口” -i 参数同理，PREROUTING 链不支持“流出接口” -o 参数6. FAQ.2Q：我应该怎么查看某个模块具体该如何使用？A：ipitables -m 模块名 -hQ：执行iptables -A FORWARD -m xxx -j yyy提示iptables: No chain/target/match by that nameA：/lib/modules/`uname -r`/kernel/net/ipv4/netfilter 目录中，缺少与 xxx 模块有关的文件，或缺少与 yyy 动作有关的文件名字为 ipt_xxx.o（2.4内核）或 ipt_yyy.ko（2.6内核）Q：脚本写好了，内网上网没问题，FTP 访问不正常，无法列出目录，为什么？A：缺少 ip_nat_ftp 这个模块，modprobe ip_nat_ftp7. 实战17. 实战.2。

Linux下iptables超详细教程和使用示例

Linux下iptables超详细教程和使⽤⽰例iptables的结构：iptables由上⽽下，由Tables，Chains，Rules组成。

⼀、iptables的表tables与链chainsiptables有Filter, NAT, Mangle, Raw四种内建表：1. Filter表Filter是iptables的默认表，它有以下三种内建链(chains)：INPUT链 – 处理来⾃外部的数据。

OUTPUT链 – 处理向外发送的数据。

FORWARD链 – 将数据转发到本机的其他⽹卡设备上。

2. NAT表NAT表有三种内建链：PREROUTING链 – 处理刚到达本机并在路由转发前的数据包。

它会转换数据包中的⽬标IP地址（destination ip address），通常⽤于DNAT(destination NAT)。

POSTROUTING链 – 处理即将离开本机的数据包。

它会转换数据包中的源IP地址（source ip address），通常⽤于SNAT（source NAT）。

OUTPUT链 – 处理本机产⽣的数据包。

3. Mangle表Mangle表⽤于指定如何处理数据包。

它能改变TCP头中的QoS位。

Mangle表具有5个内建链（chains）：PREROUTINGOUTPUTFORWARDINPUTPOSTROUTING4. Raw表Raw表⽤于处理异常，它具有2个内建链：PREROUTING chainOUTPUT chain5.⼩结⼆、IPTABLES 规则(Rules)规则的关键知识点：Rules包括⼀个条件和⼀个⽬标(target)如果满⾜条件，就执⾏⽬标(target)中的规则或者特定值。

如果不满⾜条件，就判断下⼀条Rules。

⽬标值（Target Values）在target⾥指定的特殊值：ACCEPT – 允许防⽕墙接收数据包DROP – 防⽕墙丢弃包QUEUE – 防⽕墙将数据包移交到⽤户空间RETURN – 防⽕墙停⽌执⾏当前链中的后续Rules，并返回到调⽤链(the calling chain)中。

linux防火墙iptables常用规则(屏蔽IP地址、禁用ping、协议设置、NAT与转发、负载平衡、自定义链)

linux防火墙iptables常用规则(屏蔽IP地址、禁用ping、协议设置、NAT与转发、负载平衡、自定义链)一、iptables：从这里开始删除现有规则iptables -F(OR)iptables --flush设置默认链策略iptables的filter表中有三种链：INPUT, FORWARD和OUTPUT。

默认的链策略是ACCEPT，你可以将它们设置成DROP。

iptables -P INPUT DROPiptables -P FORWARD DROPiptables -P OUTPUT DROP你需要明白，这样做会屏蔽所有输入、输出网卡的数据包，除非你明确指定哪些数据包可以通过网卡。

屏蔽指定的IP地址以下规则将屏蔽BLOCK_THIS_IP所指定的IP地址访问本地主机：BLOCK_THIS_IP="x.x.x.x"iptables -A INPUT -i eth0 -s "$BLOCK_THIS_IP" -j DROP (或者仅屏蔽来自该IP的TCP数据包）iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP允许来自外部的ping测试iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPTiptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT允许从本机ping外部主机iptables -A OUTPUT -p icmp --icmp-type echo-request -jACCEPTiptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT允许环回(loopback)访问iptables -A INPUT -i lo -j ACCEPTiptables -A OUTPUT -o lo -j ACCEPT二、iptables：协议与端口设定允许所有SSH连接请求本规则允许所有来自外部的SSH连接请求，也就是说，只允许进入eth0接口，并且目的端口为22的数据包iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state--state ESTABLISHED -j ACCEPT允许从本地发起的SSH连接本规则和上述规则有所不同，本规则意在允许本机发起SSH 连接，上面的规则与此正好相反。

详解Linuxiptables命令

详解Linuxiptables命令iptables 是 Linux 管理员⽤来设置 IPv4 数据包过滤条件和 NAT 的命令⾏⼯具。

iptables ⼯具运⾏在⽤户态，主要是设置各种规则。

⽽ netfilter 则运⾏在内核态，执⾏那些设置好的规则。

查看 iptables 的链和规则查看规则的命令格式为：iptables [-t tables] [-L] [-nv]-t ：后⾯接 table ，例如 nat 或 filter ，若省略此项⽬，则使⽤默认的 filter-L ：列出某个 table 的所有链或某个链的规则-n ：直接显⽰ IP，速度会快很多-v ：列出更多的信息，包括通过该规则的数据包总位数、相关的⽹络接⼝等列出 filter table INPUT 链的规则：$ sudo iptables -L INPUT列出 nat table 三条链的规则：$ sudo iptables -t nat -L -n列出 filter table 三条链的规则：$ sudo iptables -L红框中的内容为链的名称及其默认策略，filter 表中所有链的默认策略都是 ACCEPT。

红框下⾯的⾏代表什么呢？target：代表进⾏的动作，ACCEPT 是放⾏，REJECT 是拒绝，DROP 则是丢弃数据包。

port：代表使⽤的协议，主要有 tcp、udp 和 icmp 三种。

opt：额外的选项说明。

source：规则针对的来源 IP。

destination：规则针对的⽬标 IP。

因为默认情况下没有添加⾃定义的规则，所以上图中这些⾏下⾯都是空的。

清除本机防⽕墙规则清除规则的命令格式如下：iptables [-t tables] [-FXZ]-F：清除所有已制定的规则-X：删除所有使⽤者⾃定义的 chain(其是 tables)-Z：将所有的 chain 的计数与流量统计都清零如果我们要制订⼀套防⽕墙规则，⼀般会先清除现有的规则，然后从头开始创建新的规则。

iptable规则

iptable规则iptables是Linux系统中的一个防火墙工具，它可以用来设置、维护和检查网络包过滤规则。

iptables规则可以根据不同的条件来匹配和处理网络包，比如源地址、目的地址、协议类型、端口号等。

iptables规则可以用来实现网络安全、流量控制、地址转换、端口映射等功能。

本文将介绍iptables的基本概念、常用命令和示例，帮助你理解和使用iptables规则。

iptables的基本概念iptables的规则是按照表（table）、链（chain）和目标（target）来组织的。

表是一组相关的规则的集合，链是一组按照顺序执行的规则，目标是规则匹配后的动作。

表iptables有四种表，分别是：filter：默认的表，用于过滤网络包，实现防火墙功能。

nat：用于修改网络包的源地址或目的地址，实现地址转换和端口映射功能。

mangle：用于修改网络包的其他属性，比如类型、优先级、标记等。

raw：用于绕过连接跟踪机制，提高性能。

每种表都有自己的链，不同的表处理不同阶段的网络包。

链每种表都有预定义的链，也可以自定义链。

预定义的链有：INPUT：处理进入本机的网络包。

OUTPUT：处理从本机发出的网络包。

FORWARD：处理经过本机转发的网络包。

PREROUTING：处理进入本机之前的网络包，用于地址转换。

POSTROUTING：处理从本机发出之后的网络包，用于地址转换。

自定义链可以在预定义链中引用，实现更复杂的逻辑。

目标目标是规则匹配后执行的动作，有两种类型：标准目标：预定义的动作，比如ACCEPT（接受）、DROP（丢弃）、REJECT（拒绝）、RETURN（返回）等。

扩展目标：自定义的动作，比如LOG（记录日志）、SNAT（源地址转换）、DNAT（目的地址转换）、MASQUERADE（伪装）等。

iptables的常用命令iptables的命令格式为：iptables [-t table] command [match] [target/jump]其中：-t table：指定要操作的表，默认为filter。

高级技巧使用iptables进行端口转发与NAT配置

高级技巧使用iptables进行端口转发与NAT配置使用iptables进行端口转发与NAT配置是网络管理中常见的高级技巧。

本文将介绍iptables的基本概念和配置方法，并详细讲解如何使用iptables进行端口转发和NAT配置。

一、iptables概述iptables是Linux操作系统中用于管理网络数据包的工具。

它可以根据预设的规则对进出的数据包进行过滤、修改和重定向等操作。

iptables使用规则链（rule chain）来组织规则，并根据规则链的顺序逐一检查数据包。

根据规则链的配置不同，iptables可以实现防火墙、端口转发和网络地址转换（NAT）等功能。

二、端口转发端口转发是指将网络数据包从一个端口转发到另一个端口。

使用iptables进行端口转发时，首先需要开启网络包转发功能，命令如下：```echo 1 > /proc/sys/net/ipv4/ip_forward```接下来，使用iptables设置端口转发规则，命令如下：```iptables -t nat -A PREROUTING -p tcp --dport 源端口 -j DNAT --to-destination 目标IP:目标端口```其中，-t nat表示使用nat表，-A PREROUTING表示在数据包进入路由之前进行转发，-p tcp表示转发TCP协议的数据包，--dport指定源端口，-j DNAT表示进行目标地址转换，--to-destination指定目标IP和端口。

三、NAT配置NAT配置是指将私有网络中的IP地址转换为公网IP地址，使内部网络可以访问外部网络。

使用iptables进行NAT配置时，需要开启网络地址转换功能，命令如下：```echo 1 > /proc/sys/net/ipv4/ip_forward```然后，设置NAT规则，命令如下：```iptables -t nat -A POSTROUTING -s 内网IP/子网掩码 -j SNAT --to-source 公网IP```其中，-t nat表示使用nat表，-A POSTROUTING表示在数据包离开网关之前进行转发，-s指定源IP地址范围，-j SNAT表示进行源地址转换，--to-source指定公网IP。

Linux防火墙iptables命令详解

Linux防⽕墙iptables命令详解iptables -Fiptables -Xiptables -F -t mangleiptables -t mangle -Xiptables -F -t natiptables -t nat -X⾸先，把三个表清空，把⾃建的规则清空。

iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD ACCEPT设定INPUT、OUTPUT的默认策略为DROP，FORWARD为ACCEPT。

iptables -A INPUT -i lo -j ACCEPTiptables -A OUTPUT -o lo -j ACCEPT先把“回环”打开，以免有不必要的⿇烦。

iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPTiptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT在所有⽹卡上打开ping功能，便于维护和检测。

iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 -j ACCEPTiptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -j ACCEPT打开22端⼝，允许远程管理。

（设定了很多的附加条件：管理机器IP必须是250，并且必须从eth0⽹卡进⼊）iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPTiptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT上⾯这⼏句是⽐较头痛的，我做逐⼀解释。

iptables 配置nat masquerade规则 -回复

iptables 配置nat masquerade规则-回复如何在iptables中配置nat masquerade规则。

第一步：了解NAT和Masquerade的概念和功能在开始配置iptables之前，我们首先需要了解NAT（Network Address Translation）和Masquerade（伪装）的概念和功能。

NAT是一种网络地址转换技术，它允许将私有IP地址转换为公有IP地址，从而实现内部网络与外部网络之间的通信。

NAT的作用是解决IPv4地址不足的问题，并且可以提高网络安全性，因为它隐藏了内部网络的真实IP 地址。

Masquerade是NAT的一种特殊形式，其中NAT规则是动态创建的。

当一个数据包出去时，Masquerade规则会自动将源IP地址替换为外部接口的IP地址，并将其映射回答数据包的源地址。

这样，只有一个公共IP 地址可以代表整个内部网络。

第二步：确定启用NAT和Masquerade功能的必要性在开始配置之前，需要确定是否需要启用NAT和Masquerade功能。

在许多情况下，这两个功能是必需的，例如：1. 当内部网络中的计算机需要通过Internet访问外部资源时，需要使用NAT和Masquerade功能。

由于内部网络使用的是私有IP地址，所以需要将其转换为公共IP地址，以便与外部网络通信。

2. 如果您有多个内部网络（例如，它们使用不同的子网），并且您想要使用一个公共IP地址代表这些内部网络，那么您需要使用NAT和Masquerade功能来实现这一目标。

第三步：进入iptables配置界面在Linux系统中，我们可以使用iptables命令来配置防火墙规则，包括NAT和Masquerade规则。

首先，我们需要进入iptables配置界面。

在大多数Linux发行版中，可以使用以下命令进入iptables配置界面：sudo iptables -t nat -I PREROUTING -p tcp dport 80 -j DNATto-destination 192.168.1.2:80此命令打开了一个加入PREROUTING 链的规则，匹配来自任何源IP地址、任何TCP目标端口为80的数据包，并将其目标更改为192.168.1.2:80。

linux nat实现方式

linux nat实现方式标题：Linux NAT实现方式引言：在计算机网络中，网络地址转换（Network Address Translation，NAT）是一种常见的网络技术，用于将私有IP地址与公共IP地址进行转换，以实现局域网内主机与外部网络的通信。

本文将介绍Linux下实现NAT的几种方式，以及它们的优缺点。

一、IPTables NAT1. IPTables是Linux上常用的防火墙工具，它可以通过配置NAT规则实现地址转换。

在IPTables中，可以使用以下命令开启NAT功能： iptables -t nat -A POSTROUTING -o <外网接口> -j MASQUERADE这条规则将对通过外网接口出去的数据包进行源地址伪装，使得回应数据包能够正确返回。

2. IPTables NAT的优点是简单易用，且性能较高。

它可以根据需要配置不同的转换规则，具有较强的灵活性。

3. 然而，IPTables NAT也存在一些缺点。

例如，它只能在内核层面进行地址转换，无法处理应用层的协议。

此外，配置复杂的NAT规则可能会导致性能下降。

二、IPFWADM NAT1. IPFWADM是Linux早期版本中使用的一种防火墙工具，它也支持NAT功能。

在IPFWADM中，可以使用以下命令开启NAT功能：ipfwadm -F -p masq -a2. IPFWADM NAT的优点是配置简单，适合于一些简单的场景。

它的性能也相对较好，适合于低负载环境。

3. 然而，IPFWADM NAT已经逐渐被IPTables所取代，使用较少，功能相对有限。

三、NAT Network Namespace1. Network Namespace是Linux内核提供的一种机制，可以将网络资源隔离在不同的命名空间中。

通过创建多个Network Namespace，并配置相应的NAT规则，可以实现不同命名空间之间的地址转换。

Linux1 防火墙 iptables防火墙NAT简介及配置

Linux1 防火墙iptables防火墙NAT简介及配置防火墙可分为几种不同的安全等级。

在Linux中，由于有许多不同的防火墙软件可供选择，安全性可低可高，最复杂的软件可提供几乎无法渗透的保护能力。

不过，Linux核心本身内建了一种称作"伪装"的简单机制NAT（网络地址转换），除了可以抵挡住绝大部分的攻击行动，还可以抵挡专门的黑客攻击。

1．NAT简介NA T（网络地址装换）可以让那些使用私有地址的内部网络连接到Internet或其它IP网络上。

NAT路由器在将内部网络的数据包发送到公用网络时，在IP包的报头把私有地址转换成合法的IP地址。

2．NAT的工作原理：当内部网络中的一台主机想传输数据到外部网络时，其先将数据包传输到iptables服务器上，服务器检查数据包的报头，获取该数据包的源IP信息，并从它的NA T映射表中找出与该IP匹配的转换条目，用所选用的内部全局地址来替换内部局部地址，并转发数据包。

当外部网络对内部主机进行应答时，数据包被送到iptables服务器上，服务器接收到目的地址为内部全局地址的数据包后，它将用内部全局地址通过NA T映射表查找出内部局部地址，然后将数据包的目的地址替换成内部局部地址，并将数据包转发到内部主机。

提示内部局部地址：在内部网络中分配给主机的私有IP地址。

内部全局地址：一个合法的IP地址，它对外代表一个或多个内部局部IP地址。

外部全局地址：由其所有者给外部网络上的主机分配的IP地址。

外部局部地址：外部主机在内部网络中表现出来的IP地址。

3．使用iptables配置NAT●NAT表需要的3个链PREROUTING可以在这里定义进行目的NA T的规则，因为路由器进行路由时只检查数据包的目的ip地址，所以为了使数据包得以正确路由，我们必须在路由之前就进行目的NAT。

POSTROUTING可以在这里定义进行源NA T的规则，系统在决定了数据包的路由以后在执行该链中的规则。

使用NAT功能

5
NAT的特性
NAT的优点
节省公有合法IP地址处理地址重叠增强灵活性安全性
NAT的缺点
延迟增大配置和维护的复杂性不支持某些应用
6
NAT支持的数据流
支持的业务类型和应用
任何应用数据流中不承载源/目的IP地址的 TCP/UDP业务
HTTP
支持在数据流中有IP 地址的业务类型
什么是NAT
NAT是将一个地址域（如专用Intranet）映射到另一个地址域（如Internet）的标准方法。它是一个根据RFC 1631开发的IETF标准，允许一个IP地址域以一个公有IP地址出现在Internet上。NAT可以将内部网络中的所有节点的地址转换成一个IP地址, 反之亦然。
PC
目的IP=172.16.24.15
目的IP=203.51.23.55
192.168.1.2
经过路由器后的包源IP= 172.16.24.15 目的IP= 192.168.1.2
NAT 转换
服务器返回PC的包源IP=203.51.23.55 目的IP=125.25.65.3
Internet 203.51.23.55
18
NAT的工作原理
2．动态网络地址转换
内部公有IP
202.96.128.2:2320 202.96.128.3:2728 202.96.128.4:3101
内部私有IP
192.168.16.10:2320 192.168.16.11:2728 192.168.16.12:3101
NAT的工作原理
① 当内部主机（IP地址为192.168.16.10\11\12）需要建立一条到Internet的会话连接时，首先将请求发送到NAT服务器上。NAT服务器接收到请求后，根据接收到的请求数据包检查NAT映射表。