A主机,有公网ip,比如1.1.1.1
有内网ip,比如192.168.1.1
B主机, 有内网ip,比如192.168.1.123
A主机和B主机在同一局域网,用交换机连接。或者在云平台,两个属于同一个vpc下的同一个subnet,也就是在同一个虚拟私人网络下的,同一个子网内。
如何实现B主机通过A主机的公网ip访问公网的服务?
这个就是snat解决的问题
snat: source network address translation 源 网络地址转换
效果:B主机通过A主机的公网ip,访问公网服务,比如公网上的yum仓库,公网上的容器镜像仓库
首先,在A主机上进行两项操作
1. 开启linux操作系统的路由转发功能
echo "net.ipv4.ip_forword = 1" > /etc/sysctl.conf
sysctl -p
2. 开启SNAT 网络地址转换功能
用iptables
红帽系列可以用firewalld
实现原理:
B主机将自己的网关地址改为A的内网地址192.168.1.1
B主机访问外网的请求的报文会到A主机
由于A主机开启了ip_forword功能和SNAT功能
所以会实现两个动作,路由转发和源地址转换
由于B主机的报文的目标ip是公网服务器
所以A主机会代替B主机把报文发往公网服务器地址
由于A主机开启了SNAT源地址转换功能
所以A主机在代替B主机把报文发送公网服务器地址的同时
会修改报文的源ip地址,iptables服务进行snat的设置类似如下
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 1.1.1.1
我们可以看到“snat to-source“的字样,意思就是把前面的源地址转变成另一个源地址
这样,B主机请求公网服务的报文的源ip就可以被修改为A主机的公网ip
数据报就可以到达公网服务器。
这里有一个问题?
B主机的报文是如何到达A主机的?它怎么知道A主机可以帮自己转发数据的?
因为,B主机的网关设置为了A主机的IP地址
A主机在这里相当于一个路由器的角色
平时主机把自己的网关设置为路由器的一个端口IP
目的就是把数据报交给路由器,让路由器转发到不同网段。
那么linux操作系统也有路由器的功能,当开启了路由转发
也会进行同样的操作
所有B主机把网关设置为A主机的IP地址
A主机就可以帮B主机把数据报文转发
而SNAT执行的动作主要是修改这个报文的源IP
因为如果报文的源IP还是内网地址,也就是B主机的地址
这个报文是不能在公网上进行通信的
第二个问题,请求报文到达公网服务器,公网给了响应报文之后
这个响应报文的目标IP是A主机的公网IP地址,那么响应报文如何到达B主机?
这里有一个概念,叫连接跟踪表。长这样
连接跟踪表(connection track table)
这个表,路由器上有,linux操作系统上也有。
当A主机接收到公网服务器返回的响应报文的时候
会查看连接跟踪表,看这个响应报文,当时是谁要去请求数据的
一看
哦
是B主机让转发去找这个公网服务器的
然后
A主机就会把响应报文转发给B主机
那么B主机就实现了通过A主机的公网IP来访问公网服务器的目的