解锁Linux隐藏技能：NAT功能大揭秘

目录

一、NAT 是什么？

二、NAT 的工作原理

（一）地址转换的魔法

（二）连接跟踪的奥秘

（三）端口转换的技巧

三、NAT 的类型

（一）静态 NAT

（二）动态 NAT

（三）端口复用 NAPT

四、Linux 中实现 NAT 的工具

（一）iptables 命令详解

（二）netfilter 框架探秘

五、在 Linux 中配置 NAT 的步骤

（一）启用 IP 转发

（二）配置 NAT 规则

（三）保存和应用规则

六、NAT 的优缺点

（一）优点大集合

（二）缺点大曝光

七、总结

---

一、NAT 是什么？

        NAT，即 Network Address Translation，中文名为网络地址转换 ，是一种将 IP 数据报中的 IP 地址转换为另一个 IP 地址的技术。简单来说，NAT 允许一个机构或网络使用一组内部私有 IP 地址进行通信，同时通过 NAT 设备将这些私有 IP 地址转换为一个或多个合法的公有 IP 地址，以实现与外部网络（如互联网）的通信。

        在 IPv4 地址空间有限的情况下，NAT 技术起到了至关重要的作用。由于 IPv4 地址采用 32 位二进制表示，理论上可提供约 43 亿个地址，但随着互联网的迅猛发展，这些地址远远无法满足日益增长的设备连接需求。NAT 技术的出现，使得多个内部设备可以共享一个或少量的公有 IP 地址，大大缓解了 IPv4 地址短缺的问题。

        在家庭网络中，我们通常会使用无线路由器。家庭中的各种设备，如手机、电脑、智能电视等，都会被分配一个私有 IP 地址，这些私有 IP 地址通常属于 192.168.x.x、10.x.x.x 或 172.16.x.x - 172.31.x.x 等网段。当这些设备需要访问互联网时，路由器会作为 NAT 设备，将设备的私有 IP 地址转换为路由器从互联网服务提供商（ISP）获得的公有 IP 地址，从而实现设备与外部网络的通信。

        企业网络中，NAT 同样应用广泛。企业内部往往有大量的办公设备、服务器等，它们使用私有 IP 地址进行内部通信。通过 NAT 技术，企业可以利用少量的公有 IP 地址，让众多内部设备能够访问互联网，同时还可以通过设置 NAT 策略，实现对内部网络的安全保护，例如隐藏内部网络结构，防止外部直接访问内部设备等 。

二、NAT 的工作原理

（一）地址转换的魔法

        NAT 的核心是地址转换，主要包括源地址转换（SNAT，Source Network Address Translation ）和目的地址转换（DNAT，Destination Network Address Translation ）。

        当内部网络中的设备向外部网络发送数据包时，源地址是设备的私有 IP 地址 ，而目的地址是外部服务器的公有 IP 地址。在经过 NAT 设备时，NAT 设备会将数据包的源地址替换为 NAT 设备的公有 IP 地址，这就是源地址转换（SNAT）。这样，外部服务器看到的数据包来源就是 NAT 设备的公有 IP 地址，而不是内部设备的私有 IP 地址 。当外部服务器响应数据包时，目的地址是 NAT 设备的公有 IP 地址，NAT 设备接收到响应数据包后，会根据之前建立的地址转换映射关系，将目的地址转换回内部设备的私有 IP 地址，然后将数据包转发给内部设备。

        以家庭网络为例，假设家里有一台电脑，其私有 IP 地址为 192.168.1.100，想要访问百度网站（百度服务器的 IP 地址假设为 220.181.38.148 ）。电脑发送的数据包中，源 IP 地址为 192.168.1.100，目的 IP 地址为 220.181.38.148 。数据包到达家里的路由器（NAT 设备）时，路由器将源 IP 地址替换为自己从 ISP 获得的公有 IP 地址，比如 114.114.114.114，然后将数据包发送出去。百度服务器收到的数据包源 IP 地址为 114.114.114.114，它并不知道真正的请求者是 192.168.1.100。当百度服务器响应时，数据包的目的 IP 地址是 114.114.114.114，路由器接收到响应数据包后，根据之前的转换记录，将目的 IP 地址转换回 192.168.1.100，再将数据包转发给电脑。

        目的地址转换（DNAT）则常用于将外部网络对某个公有 IP 地址的访问请求转发到内部网络的特定设备上。当外部网络的设备向 NAT 设备的公有 IP 地址发送数据包时，NAT 设备会根据预先设置的规则，将数据包的目的地址从公有 IP 地址转换为内部网络中某台服务器的私有 IP 地址，同时可能会转换端口号，然后将数据包转发到内部服务器。比如企业有一台内部 Web 服务器，私有 IP 地址为 192.168.1.200，对外提供网站服务。为了让外部用户能够访问该网站，在 NAT 设备上设置 DNAT 规则，将外部对 NAT 设备公有 IP 地址（如 202.100.1.1）的 80 端口访问请求，转换为对内部 Web 服务器 192.168.1.200 的 80 端口的访问请求。这样，外部用户在浏览器中输入 202.100.1.1，实际上访问的是内部的 192.168.1.200 服务器。

（二）连接跟踪的奥秘

        为了确保 NAT 设备能够正确地对数据包进行地址转换和转发，NAT 设备需要维护一个连接跟踪表（Connection Tracking Table） ，这就是连接跟踪机制。连接跟踪表记录了每个连接的相关信息，包括源 IP 地址、源端口号、目的 IP 地址、目的端口号、协议类型以及连接状态等。

        当内部设备发起一个连接请求时，NAT 设备会在连接跟踪表中创建一个新的条目，记录该连接的初始信息。在连接过程中，NAT 设备根据连接跟踪表中的信息，对进出的数据包进行正确的地址转换和转发。当连接结束时，NAT 设备会删除连接跟踪表中对应的条目。例如，当内部主机 A（192.168.1.101）通过 NAT 设备访问外部服务器 B（203.0.113.10）的 80 端口时，NAT 设备在连接跟踪表中记录下源 IP 地址 192.168.1.101、源端口号（假设为随机生成的 50000 ）、目的 IP 地址 203.0.113.10、目的端口号 80 以及协议类型 TCP 。当服务器 B 响应数据包时，NAT 设备根据连接跟踪表中的信息，将目的 IP 地址从 203.0.113.10 转换为 192.168.1.101，目的端口号从 80 转换为 50000，然后将数据包转发给主机 A。连接跟踪机制还能处理一些特殊情况，比如当内部设备同时发起多个连接时，NAT 设备可以通过连接跟踪表准确地区分不同的连接，将响应数据包正确地转发到对应的内部设备。它也有助于提高网络的安全性，因为 NAT 设备可以根据连接跟踪表判断哪些数据包是合法的连接请求或响应，哪些是非法的入侵尝试，从而进行相应的过滤和处理。