请问只配置了SNAT对于进来的报文会转换吗？

chanwai1219

比如我内网中好多个IP共享一个IP上网，我配置了下面的规则
iptables -t nat -A POSTROUTING -o eif_0 -s 192.168.1.0/24 -j SNAT --to-source 3.3.3.3

对于外部网络中对内网主机的相应报文NAT会做目的地址转换吗？是怎么转到对应的IP呢？

anonymous0502

看看vbird的snat部分：
http://linux.vbird.org/linux_ser ... rewall.php#nat_what

ulovko

没有看明白是什么意思。

chanwai1219

回复 2# anonymous0502


    这篇文章很好，但是也没提到如果内网中有很多主机时SNAT是怎么分辨要发送回应报文到哪个主机上呢？

ulovko

回复 4# chanwai1219


    会自动判断的 有唯一的序列号！

chenyx

转换出去的时候,在ip_conntrack_table里面有跟踪记录,里面有转换的ip以及访问的ip等信息,返回的包根据这些信息就能找到原始的机器了

anonymous0502

说了吧：

在 Internet 上面的主機接到這個封包時，會將回應資料傳送給那個 Public IP 的主機；
當 Linux NAT 伺服器收到來自 Internet 的回應封包後，會分析該封包的序號，並比對剛剛記錄到記憶體當中的資料， 由於發現該封包為後端主機之前傳送出去的，因此在 NAT Prerouting 鏈中，會將目標 IP 修改成為後端主機，亦即那部 192.168.1.100，然後發現目標已經不是本機 (public IP)， 所以開始透過路由分析封包流向；
封包會傳送到 192.168.1.2 這個內部介面，然後再傳送到最終目標 192.168.1.100 機器上去！

chanwai1219

多谢大家，我还有一个疑问，就是我配置了几条规则后，我想删除某个接口的所有规则要怎么陪呢？

iptables -A FORWARD -i eif_1 -o eif_0 -j ACCEPT
iptables -A FORWARD -i eif_2 -o eif_0 -j ACCEPT

比如我想删除所有出口为eif_0的规则，用下面的命令是不可以的：
iptables -D FORWARD -o eif_0 -j ACCEPT

只能通过
iptables -D FORWARD -i eif_1 -o eif_0 -j ACCEPT
iptables -D FORWARD -i eif_2 -o eif_0 -j ACCEPT

必须要严格匹配添加时的规则吗？

2008ohmygod

5.當 Linux NAT 伺服器收到來自 Internet 的回應封包後，會分析該封包的序號，並比對剛剛記錄到記憶體當中的資料， 由於發現該封包為後端主機之前傳送出去的，因此在 NAT Prerouting 鏈中，會將目標 IP 修改成為後端主機，亦即那部 192.168.1.100，然後發現目標已經不是本機 (public IP)， 所以開始透過路由分析封包流向；

anonymous0502

你要批量操作，可能用iptables-save把规则输出到一个临时文件中，再用命令批量替换修改临时文件，再用iptables-restore从文件中加载会稍微方便一点