SNAT和DNAT策略及应用

一、SNAT策略概述

1. 原理：修改数据包中的源IP地址

2. 作用：可以实现局域网共享上网

3. 配置的表及链：nat表中的POSTROUTING

4. 企业内部的主机A想访问互联网上的主机C，首先将请求数据包（源：ipA，目标：ipC）发送到防火墙所在主机B，B收到后 将数据包源地址改为本机公网网卡的ip（源：ipA，目标：ipB），然后经互联网发送给C；C收到后将回应包（源：ipC，目标：ipB）转发给C的路由器，经互联网将回应包转发给B，B收到回应包后修改其目的地址，即回应包改为（源：ipC，目标：ipA）然后将数据包转发给A。
   在这个过程中，修改了请求报文的源地址，叫做SNAT（source NAT POSTROUTING），用于局域网访问互联网。

5. 注意：
   不能在防火墙B的PREROUTING链上设置转换源地址的防火墙策略，因为若在B的PREROUTING链上设置转换源地址的防火墙策略，此时还未检查路由表，还不知道要到达数据包中目标主机需经过本机的哪个网卡接口，即还不知道需将源地址替换为哪个公网网卡的ip，需在POSTROUTING设置转换源地址的防火墙策略。

二、DNAT策略概述

1. 原理：修改数据包中的目标IP