问个防火墙iptables的返回的菜问题！谢谢回答

babywolfh

各位GGJJMMDD好 ：）
最近在看那个iptables的指南，有点问题想不明白，麻烦各位指导下，先谢谢了.

问题是：
假设现在我有个防火墙连接内网和外网（Internet），对外只有一个合法的IP，就是防火墙那个对外的IP——$INET_IP，接口为$INET_IFACE 。防火墙还有一个内网的IP——$LAN_IP，在防火墙的内部假设有2个终端，他们的IP为$LAN_BOX1，$LAN_BOX2（肯定是内网ip）。
现在2台内网的机子都与外网发起连接，那他们都先经过防火墙SNAT转换为防火墙的外网IP即
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

但是在外网应答时的目的IP地址为$INET_IP，那防火墙是怎么区分应该DNAT到是哪个内网IP呢？也就是说它是根据什么标志来做DNAT转换到内网机器的呢

谢谢！

babywolfh

找了半天 也没类似的 是不是防火墙自己的内部代理功能程序做了这部分功能啊？
呵呵 网络知识过于缺乏啊 哎！

babywolfh

呵呵 找到个如下的

TCP/IP协议规定了三类局域网保留IP地址，这三个地址段分别是: 10.x.x.x、172.16. x.x、192.168. x.x（X在0～255之间，注意实际用时网络号部分不能为全0或全1）。这些IP地址可以在一个局域网内部使用，但直接以这样的内网地址连接到Internet显然是行不通的。

　　为此，当内部的机器与外部的机器连接时，需要先通过有合法外网地址的主机把内网IP地址转换为合法的外网IP地址，这就是网络地址转换（Network Address Translation），简称NAT。

　　使用NAT技术可以使一个或数个合法IP地址访问Internet，从而节省了Internet上的合法IP地址；另一方面，通过地址转换，可以隐藏内网上主机的真实IP地址，从而提高网络的安全性。

　　比如，连接外网的电脑或设备，通过固定或动态获取得到了一个合法的IP地址，如219.254.38.180，它还需要有一个网络内部的地址比如192.168.0.1，用来充当其他电脑的网关。如果局域网内部的一台电脑IP地址是192.168.0.2：4000（4000是它的端口号），想访问Internet上某个主机，192.168.0.2：4000的请求先传到主机192.168.0.1上，主机把这个IP地址转换为219.254.38.180：9000。然后以端口号为9000的这个IP地址向Internet上的那个主机发出请求，回答的数据流则传回给主机219.254.38.180：9000，主机接收到数据后，会查找与9000这个端口号相关联的内部IP地址，当它发现是192.168.0.2：4000后，就把数据传给192.168.0.2：4000，这样，IP地址的转换就完成了。


我还想问下“查找与9000这个端口号相关联的内部IP地址” 这个是内部程序完成的吗？ 还是有个什么映射表呢？？

liubinbj

这个不用你操心，有状态记录，如果非要找要看源代码，没看过，说不好。

babywolfh

呵呵  谢谢了  大致明白了

platinum

有个 NAT 表，会记录 $LAN_BOX、$LAN_IP、$INET_ETH、$INET_IP、$S_PORT、$D_PORT、$PROTO
当数据报回来的时候，如果匹配到了，就发给内网，对号入座，如果 NAT 表里找不到，就丢掉或者返回一个 TCP 的 RST