AI 助理
备案控制台
开发者社区 云计算 文章 正文

iptables深入解析-nat篇

2015-08-04 1695
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
公网NAT网关，每月750个小时 15CU
云解析 DNS，旗舰版 1个月
全局流量管理 GTM，标准版 1个月
简介：     关于nat，在实际应用中还是很广泛的,snat/dnat/dmz/等等.下面我们就结合代码深入分析下nat的运作.     参考：iptables.1.4.21  kernel 3.8.13    NAT英文全称是“Network Address Translation” 顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。
    关于nat，在实际应用中还是很广泛的,snat/dnat/dmz/等等.下面我们就结合代码深入分析下nat的运作.
    参考：iptables.1.4.21  kernel 3.8.13
   NAT英文全称是“Network Address Translation”
顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。因此我们可以认为，NAT在一定程度上，能够有效的解决公网地址不足的问题
分类 ：
NAT有三种类型 ：静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT（Port-Level NAT）
其中，网络地址端口转换NAPT（Network Address Port Translation）则是把内部地址映射到外部网络的一个IP地址的不同端口上。它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与 动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的端口号.NAPT是使用最普遍的一种转换方式
,它又细分为snat和dnat.
(1)源NAT（Source NAT，SNAT）：修改数据包的源地址。源NAT改变第一个数据包的来源地址，它永远会在数据包发送到网络之前完成，数据包伪装就是一具SNAT的例子。
(2)目的NAT（Destination NAT，DNAT）：修改数据包的目的地址。Destination NAT刚好与SNAT相反，它是改变第一个数据懈的目的地地址，如平衡负载、端口转发和透明代理就是属于DNAT

应用：
NAT主要可以实现以下几个功能：数据包伪装、平衡负载、端口转发和透明代理。
数据伪装: 可以将内网数据包中的地址信息更改成统一的对外地址信息，不让内网主机直接暴露在因特网上，保证内网主机的安全。同时，该功能也常用来实现共享上网。
端口转发: 当内网主机对外提供服务时，由于使用的是内部私有IP地址，外网无法直接访问。因此，需要在网关上进行端口转发，将特定服务的数据包转发给内网主机。
负载平衡: 目的地址转换NAT可以重定向一些服务器的连接到其他随机选定的服务器。
失效终结: 目的地址转换NAT可以用来提供高可靠性的服务。如果一个系统有一台通过路由器访问的关键服务器，一旦路由器检测到该服务器当机，它可以使用目的地址转换NAT透明的把连接转移到一个备份服务器上。
透明代理: NAT可以把连接到因特网的HTTP连接重定向到一个指定的HTTP代理服务器以缓存数据和过滤请求。一些因特网服务提供商就使用这种技术来减少带宽的使用而不用让他们的客户配置他们的浏览器支持代理连接
原理
地址转换
NAT的基本工作原理是，当私有网主机和公共网主机通信的IP包经过NAT网关时，将IP包中的源IP或目的IP在私有IP和NAT的公共IP之间进行转换
要做SNAT的信息包被添加到POSTROUTING链中。要做DNAT的信息包被添加到PREROUTING链中。直接从本地出站的信息包的规则被添加到OUTPUT 链中。
DNAT：若包是被送往PREROUTING链的，并且匹配了规则，则执行DNAT或REDIRECT目标。为了使数据包得到正确路由，必须在路由之前进行DNAT。
路由：内核检查信息包的头信息，尤其是信息包的目的地。
处理本地进程产生的包：对nat表OUTPUT链中的规则实施规则检查，对匹配的包执行目标动作。
SNAT：若包是被送往POSTROUTING链的，并且匹配了规则，则执行SNAT或MASQUERADE目标。系统在决定了数据包的路由之后才执行该链中的规则

但是nat也不是万能的，它也是有缺陷的，解决办法就是 nat穿透技术:
其实NAT穿越技术依赖于UPnP协议的支持，也就是说NAT设备必须支持UPnP，支持NAT穿越技术；而网络应用程序一样也需要支持UPnP，支持NAT穿越技术，只不过，这通常都是通过调用相关的NAT Traversal API实现的，window XP默认已经安装了NAT Traversal API，当然网络应用程序要调用它仍然需要进行一些修改，现在的MSN Messenger就支持调用NAT Traversal API. 这里不再详细说明，感兴趣的可以查找资料.
    下面看看实际代码部分：
     Nat的初始化工作和之前分析的filter几乎一样。Nat的ipv4部分在Iptables_nat.c 、Core部分在nf_nat_core.c，不同的就是表不一样.
这里我们拿snat一个实际例子分析，应用环境如图：

很明显，直接lan内pc无法与外网通信,因为保留的ip地址即使外网能收到，但是回复的时候路由也会丢弃.所以需要snat：
#iptables -t nat -A POSTROUTING -s  192.168.1.0/24  -j SNAT --to-source  202.20.65.5
或#iptables -t nat -A POSTROUTING -s  192.168.1.0/24 -j MASQUERADE  //  默认会获取wan口地址进行映射. 
钩子点POSTROUTING 对应SNAT    PREROUTING 对应DNAt（因为会影响以后的路由）;还需要说明的是不论prerouting的dnat or  postrouting snat都在基本ct的后边，helper和confirm的前面.(DNAT的优先级高于SNAT)
参见：

点击(此处)折叠或打开

  1. enum nf_ip_hook_priorities {
  2.     NF_IP_PRI_FIRST = INT_MIN,
  3.     NF_IP_PRI_CONNTRACK_DEFRAG = -400,
  4.     NF_IP_PRI_RAW = -300,
  5.     NF_IP_PRI_SELINUX_FIRST = -225,
  6.     NF_IP_PRI_CONNTRACK = -200,
  7.     NF_IP_PRI_MANGLE = -150,
  8.     NF_IP_PRI_NAT_DST = -100,
  9.     NF_IP_PRI_FILTER = 0,
  10.     NF_IP_PRI_SECURITY = 50,
  11.     NF_IP_PRI_NAT_SRC = 100,
  12.     NF_IP_PRI_SELINUX_LAST = 225,
  13.     NF_IP_PRI_CONNTRACK_HELPER = 300,
  14.     NF_IP_PRI_CONNTRACK_CONFIRM = INT_MAX,
  15.     NF_IP_PRI_LAST = INT_MAX,
  16. };
对于图中lan-->wan(外网通信)我们梳理下报文的处理流程：
第一个报文：192.168.1.3--->202.20.65.4(协议端口先忽略)
-->nf_conntrack_in（查询ct，没有则建立ct，prerouting）--->先snat处理，然后ipv4_helper处理，最后ipv4_confirm处理.(postrouing)
回复的报文：202.20.65.4--->202.20.65.5
--->nf_conntrack_in,然后 de-snat处理(查询到之前建立的ct， prerouting)---->snat处理（postrouting）
下面代码分析，先看snat的处理：
hook函数为nf_nat_ipv4_out它调用了核心处理函数nf_nat_ipv4_fn：

点击(此处)折叠或打开

  1. static unsigned int
  2. nf_nat_ipv4_fn(unsigned int hooknum,
  3.      struct sk_buff *skb,
  4.      const struct net_device *in,
  5.      const struct net_device *out,
  6.      int (*okfn)(struct sk_buff *))
  7. {
  8.     struct nf_conn *ct;
  9.     enum ip_conntrack_info ctinfo;
  10.     struct nf_conn_nat *nat;
  11.     /* maniptype == SRC for postrouting. */
  12.     enum nf_nat_manip_type maniptype = HOOK2MANIP(hooknum);

  14.     /* We never see fragments: conntrack defrags on pre-routing
  15.      * and local-out, and nf_nat_out protects post-routing.
  16.      */
  17.     NF_CT_ASSERT(!ip_is_fragment(ip_hdr(skb)));

  19.     ct = nf_ct_get(skb, &ctinfo);
  20.     /* Can't track? It's not due to stress, or conntrack would
  21.      * have dropped it. Hence it's the user's responsibilty to
  22.      * packet filter it out, or implement conntrack/NAT for that
  23.      * protocol. 8) --RR
  24.      */
  25.     if (!ct)
  26.         return NF_ACCEPT;

  28.     /* Don't try to NAT if this packet is not conntracked */
  29.     if (nf_ct_is_untracked(ct))
  30.         return NF_ACCEPT;

  32.     nat = nfct_nat(ct);
  33.     if (!nat) {
  34.         /* NAT module was loaded late. */
  35.         if (nf_ct_is_confirmed(ct))
  36.             return NF_ACCEPT;
  37.         nat = nf_ct_ext_add(ct, NF_CT_EXT_NAT, GFP_ATOMIC);
  38.         if (nat == NULL) {
  39.             pr_debug("failed to add NAT extension\n");
  40.             return NF_ACCEPT;
  41.         }
  42.     }

  44.     switch (ctinfo) {
  45.     case IP_CT_RELATED:
  46.     case IP_CT_RELATED_REPLY:
  47.         if (ip_hdr(skb)->protocol == IPPROTO_ICMP) {
  48.             if (!nf_nat_icmp_reply_translation(skb, ct, ctinfo,
  49.                              hooknum))
  50.                 return NF_DROP;
  51.             else
  52.                 return NF_ACCEPT;
  53.         }
  54.         /* Fall thru... (Only ICMPs can be IP_CT_IS_REPLY) */
  55.     case IP_CT_NEW:
  56.         /* Seen it before? This can happen for loopback, retrans,
  57.          * or local packets.
  58.          */
  59.         if (!nf_nat_initialized(ct, maniptype)) {
  60.             unsigned int ret;

  62.             ret = nf_nat_rule_find(skb, hooknum, in, out, ct);
  63.             if (ret != NF_ACCEPT)
  64.                 return ret;
  65.         } else {
  66.             pr_debug("Already setup manip %s for ct %p\n",
  67.                  maniptype == NF_NAT_MANIP_SRC ? "SRC" : "DST",
  68.                  ct);
  69.             if (nf_nat_oif_changed(hooknum, ctinfo, nat, out))
  70.                 goto oif_changed;
  71.         }
  72.         break;

  74.     default:
  75.         /* ESTABLISHED */
  76.         NF_CT_ASSERT(ctinfo == IP_CT_ESTABLISHED ||
  77.              ctinfo == IP_CT_ESTABLISHED_REPLY);
  78.         if (nf_nat_oif_changed(hooknum, ctinfo, nat, out))
  79.             goto oif_changed;
  80.     }

  82.     return nf_nat_packet(ct, ctinfo, hooknum, skb);

  84. oif_changed:
  85.     nf_ct_kill_acct(ct, ctinfo, skb);
  86.     return NF_DROP;
  87. }
它首先根据hooknum获取nat类型：enum nf_nat_manip_type maniptype // postrouting 为snat
获取ct信息.,并创建nat ext信息，由于之前已经建立了ct，所以这里状态为IP_CT_NEW. ct->status未设置.
接着调用nf_nat_rule_find-->ipt_do_tables处理snat rules. 对于rules的处理机制流程我们已经很熟悉了.和filter不一样的就是 target的处理，
简单看看iptables对命令的解析的ipt_ip信息：
Ipt_do_table
先是查找五元组的匹配ip_packet_match  ipt_entry->ip(struct ipt_ip)
那么上面的命令规则下发的ip信息是什么呢
In_dev ：不限
Out_dev：不限
Src_ip：192.168.1.0/24
Dst_ip:不限
Protonum:不限
Sport:不限
Dport:不限
五元组匹配后，找到nat的target,解析  --to-source  202.20.65.5.

点击(此处)折叠或打开

  1. static struct xtables_target snat_tg_reg = {
  2.     .name        = "SNAT",
  3.     .version    = XTABLES_VERSION,
  4.     .family        = NFPROTO_IPV4,
  5.     .size        = XT_ALIGN(sizeof(struct nf_nat_ipv4_multi_range_compat)),
  6.     .userspacesize    = XT_ALIGN(sizeof(struct nf_nat_ipv4_multi_range_compat)),
  7.     .help        = SNAT_help,
  8.     .x6_parse    = SNAT_parse,
  9.     .x6_fcheck    = SNAT_fcheck,
  10.     .print        = SNAT_print,
  11.     .save        = SNAT_save,
  12.     .x6_options    = SNAT_opts,
  13. };
先把ip地址信息放在struct nf_nat_ipv4_range range中，然后和struct ipt_natinfo *info = (void *)(*cb->target)关联其实就是填充.

点击(此处)折叠或打开

  1. /* Dest NAT data consists of a multi-range, indicating where to map
  2.    to. */
  3. struct ipt_natinfo
  4. {
  5.     struct xt_entry_target t;
  6.     struct nf_nat_ipv4_multi_range_compat mr;
  7. };
我们看看内核的nat target是如何处理的：由于是单ip参数，所以是v1

点击(此处)折叠或打开

  1. {
  2.         .name        = "SNAT",
  3.         .revision    = 1,
  4.         .target        = xt_snat_target_v1,
  5.         .targetsize    = sizeof(struct nf_nat_range),
  6.         .table        = "nat",
  7.         .hooks        = (1 NF_INET_POST_ROUTING) |
  8.                  (1 NF_INET_LOCAL_IN),
  9.         .me        = THIS_MODULE,
  10.     },

点击(此处)折叠或打开

  1. static unsigned int
  2. xt_snat_target_v1(struct sk_buff *skb, const struct xt_action_param *par)
  3. {
  4.     const struct nf_nat_range *range = par->targinfo;
  5.     enum ip_conntrack_info ctinfo;
  6.     struct nf_conn *ct;

  8.     ct = nf_ct_get(skb, &ctinfo);
  9.     NF_CT_ASSERT(ct != NULL &&
  10.          (ctinfo == IP_CT_NEW || ctinfo == IP_CT_RELATED ||
  11.          ctinfo == IP_CT_RELATED_REPLY));

  13.     return nf_nat_setup_info(ct, range, NF_NAT_MANIP_SRC);
  14. }
其实nat的处理就是nf_nat_setup_info包括dnat也是.
先是获取curr_tuple，调用get_unique_tuple根据curr_tuple和range信息建立新的tuple即new_tuple

点击(此处)折叠或打开

  1. get_unique_tuple(&new_tuple, &curr_tuple, range, ct, maniptype);

点击(此处)折叠或打开

  1. /* Manipulate the tuple into the range given. For NF_INET_POST_ROUTING,
  2.  * we change the source to map into the range. For NF_INET_PRE_ROUTING
  3.  * and NF_INET_LOCAL_OUT, we change the destination to map into the
  4.  * range. It might not be possible to get a unique tuple, but we try.
  5.  * At worst (or if we race), we will end up with a final duplicate in
  6.  * __ip_conntrack_confirm and drop the packet. */
  7. static void
  8. get_unique_tuple(struct nf_conntrack_tuple *tuple,
  9.          const struct nf_conntrack_tuple *orig_tuple,
  10.          const struct nf_nat_range *range,
  11.          struct nf_conn *ct,
  12.          enum nf_nat_manip_type maniptype)
  13. {
  14.     const struct nf_nat_l3proto *l3proto;
  15.     const struct nf_nat_l4proto *l4proto;
  16.     struct net *net = nf_ct_net(ct);
  17.     u16 zone = nf_ct_zone(ct);

  19.     rcu_read_lock();
  20.     l3proto = __nf_nat_l3proto_find(orig_tuple->src.l3num);
  21.     l4proto = __nf_nat_l4proto_find(orig_tuple->src.l3num,
  22.                     orig_tuple->dst.protonum);

  24.     /* 1) If this srcip/proto/src-proto-part is currently mapped,
  25.      * and that same mapping gives a unique tuple within the given
  26.      * range, use that.
  27.      *
  28.      * This is only required for source (ie. NAT/masq) mappings.
  29.      * So far, we don't do local source mappings, so multiple
  30.      * manips not an issue.
  31.      */
  32.     if (maniptype == NF_NAT_MANIP_SRC &&
  33.      !(range->flags & NF_NAT_RANGE_PROTO_RANDOM)) {
  34.         /* try the original tuple first */
  35.         if (in_range(l3proto, l4proto, orig_tuple, range)) {
  36.             if (!nf_nat_used_tuple(orig_tuple, ct)) {
  37.                 *tuple = *orig_tuple;
  38.                 goto out;
  39.             }
  40.         } else if (find_appropriate_src(net, zone, l3proto, l4proto,
  41.                         orig_tuple, tuple, range)) {
  42.             pr_debug("get_unique_tuple: Found current src map\n");
  43.             if (!nf_nat_used_tuple(tuple, ct))
  44.                 goto out;
  45.         }
  46.     }

  48.     /* 2) Select the least-used IP/proto combination in the given range */
  49.     *tuple = *orig_tuple;
  50.     find_best_ips_proto(zone, tuple, range, ct, maniptype);

  52.     /* 3) The per-protocol part of the manip is made to map into
  53.      * the range to make a unique tuple.
  54.      */

  56.     /* Only bother mapping if it's not already in range and unique */
  57.     if (!(range->flags & NF_NAT_RANGE_PROTO_RANDOM)) {
  58.         if (range->flags & NF_NAT_RANGE_PROTO_SPECIFIED) {
  59.             if (l4proto->in_range(tuple, maniptype,
  60.                      &range->min_proto,
  61.                      &range->max_proto) &&
  62.              (range->min_proto.all == range->max_proto.all ||
  63.              !nf_nat_used_tuple(tuple, ct)))
  64.                 goto out;
  65.         } else if (!nf_nat_used_tuple(tuple, ct)) {
  66.             goto out;
  67.         }
  68.     }

  70.     /* Last change: get protocol to try to obtain unique tuple. */
  71.     l4proto->unique_tuple(l3proto, tuple, range, maniptype, ct);
  72. out:
  73.     rcu_read_unlock();
  74. }
在这个函数里我们发现了类似ct的l3/l4协议注册处理时的结构体,

点击(此处)折叠或打开

  1. const struct nf_nat_l3proto *l3proto;
  2.     const struct nf_nat_l4proto *l4proto;
关于它们的注册：

点击(此处)折叠或打开

  1. static int __init nf_nat_l3proto_ipv4_init(void)
  2. {
  3.     int err;

  5.     err = nf_nat_l4proto_register(NFPROTO_IPV4, &nf_nat_l4proto_icmp);
  6.     if (err 0)
  7.         goto err1;
  8.     err = nf_nat_l3proto_register(&nf_nat_l3proto_ipv4);
  9.     if (err 0)
  10.         goto err2;
  11.     return err;

  13. err2:
  14.     nf_nat_l4proto_unregister(NFPROTO_IPV4, &nf_nat_l4proto_icmp);
  15. err1:
  16.     return err;
  17. }

点击(此处)折叠或打开

  1. static const struct nf_nat_l3proto nf_nat_l3proto_ipv4 = {
  2.     .l3proto        = NFPROTO_IPV4,
  3.     .in_range        = nf_nat_ipv4_in_range,
  4.     .secure_port        = nf_nat_ipv4_secure_port,
  5.     .manip_pkt        = nf_nat_ipv4_manip_pkt,
  6.     .csum_update        = nf_nat_ipv4_csum_update,
  7.     .csum_recalc        = nf_nat_ipv4_csum_recalc,
  8.     .nlattr_to_range    = nf_nat_ipv4_nlattr_to_range,
  9. #ifdef CONFIG_XFRM
  10.     .decode_session        = nf_nat_ipv4_decode_session,
  11. #endif
  12. };
l4例如udp的：

点击(此处)折叠或打开

  1. const struct nf_nat_l4proto nf_nat_l4proto_udp = {
  2.     .l4proto        = IPPROTO_UDP,
  3.     .manip_pkt        = udp_manip_pkt,
  4.     .in_range        = nf_nat_l4proto_in_range,
  5.     .unique_tuple        = udp_unique_tuple,
  6. #if defined(CONFIG_NF_CT_NETLINK) || defined(CONFIG_NF_CT_NETLINK_MODULE)
  7.     .nlattr_to_range    = nf_nat_l4proto_nlattr_to_range,
  8. #endif
  9. };
继续后面的处理，判断mainiptype 和range->flags. miainptype很明显是src，而range->flags的值来自哪里呢？
首先我们需要明白的是range来自用户空间的传递.

点击(此处)折叠或打开

  1. void xtables_option_tfcall(struct xtables_target *t)
  2. {
  3.     if (t->x6_fcheck != NULL) {
  4.         struct xt_fcheck_call cb;

  6.         cb.ext_name = t->name;
  7.         cb.data = t->t->data;
  8.         cb.xflags = t->tflags;
  9.         cb.udata = t->udata;
  10.         t->x6_fcheck(&cb);
  11.     } else if (t->final_check != NULL) {
  12.         t->final_check(t->tflags);
  13.     }
  14.     if (t->x6_options != NULL)
  15.         xtables_options_fcheck(t->name, t->tflags, t->x6_options);
  16. }
而x6_fcheck：

点击(此处)折叠或打开

  1. static void SNAT_fcheck(struct xt_fcheck_call *cb)
  2. {
  3.     static const unsigned int f = F_TO_SRC | F_RANDOM;
  4.     struct nf_nat_ipv4_multi_range_compat *mr = cb->data;

  6.     if ((cb->xflags & f) == f)
  7.         mr->range[0].flags |= NF_NAT_RANGE_PROTO_RANDOM;
  8. }

没有指定端口信息则为range.flags |= NF_NAT_RANGE_MAP_IPS;指定端口信息则：range.flags |= NF_NAT_RANGE_PROTO_SPECIFIED;
同理dnat。在iptables命令解析的时候是先处理target然后才去check的.而range的值：
Parse_to里先解析端口信息，如果有的话会赋值给：
只说下单端口的情况：

点击(此处)折叠或打开

  1. range.min.tcp.port
  2.                 = range.max.tcp.port
  3.                 = htons(port);
ip字符串 ip->s_addr
range.min_ip = ip->s_addr;
range.max_ip = range.min_ip;  
然后填充到entry_target的data里
继续回到get_unique_tuple，接着in_range返回值为0（因为ip地址唯一）,我们看看find_appropriate_src做了什么
很明显一开始net->ct.nat_bysource为null，所以这个函数也返回0.
关键在find_best_ips_proto
它根据源tuple信息和range参数，生产新的tuple（映射后的），然后nf_nat_used_tuple查询是否已有回应报文在hash链表上. 最后用l4proto->unique_tuple保证tuple 的唯一性. 总之 get_unique_tuple函数 主要工作就是生产新的映射后的tuple。
由于ip信息已经改变，所以new_tuple和curr_tuple肯定不一样.  之后新映射的tuple再逆转为repl_tuple（映射后）
调用nf_conntrack_alter_reply改变ct信息:

点击(此处)折叠或打开

  1. /* Alter reply tuple (maybe alter helper). This is for NAT, and is
  2.    implicitly racy: see __nf_conntrack_confirm */
  3. void nf_conntrack_alter_reply(struct nf_conn *ct,
  4.              const struct nf_conntrack_tuple *newreply)
  5. {
  6.     struct nf_conn_help *help = nfct_help(ct);

  8.     /* Should be unconfirmed, so not in hash table yet */
  9.     NF_CT_ASSERT(!nf_ct_is_confirmed(ct));

  11.     pr_debug("Altering reply tuple of %p to ", ct);
  12.     nf_ct_dump_tuple(newreply);

  14.     ct->tuplehash[IP_CT_DIR_REPLY].tuple = *newreply;
  15.     if (ct->master || (help && !hlist_empty(&help->expectations)))
  16.         return;

  18.     rcu_read_lock();
  19.     __nf_ct_try_assign_helper(ct, NULL, GFP_ATOMIC);
  20.     rcu_read_unlock();
  21. }
即它改变了 ct->tuplehash[IP_CT_DIR_REPLY].tuple，其他不变.
最后处理nat ext，把nat信息和ct关联起来通过hlist：net->ct.nat_bysource
然后设置ct->status：

点击(此处)折叠或打开

  1. ct->status |= IPS_SRC_NAT_DONE
既然nat规则处理完毕，剩下的工作就是处理skb里ip报文信息了。
根据ct里的信息通过nf_nat_packet修改skb指向的ip头.
后续的钩子函数，如果有helper处理helper；然后就是ipv4_confirmed

点击(此处)折叠或打开

  1. /* reuse the hash saved before */
  2.     hash = *(unsigned long *)&ct->tuplehash[IP_CT_DIR_REPLY].hnnode.pprev;
  3.     hash = hash_bucket(hash, net);
  4.     repl_hash = hash_conntrack(net, zone,
  5.                  &ct->tuplehash[IP_CT_DIR_REPLY].tuple);
首先看第一个hash值，它在__nf_conntrack_alloc的时候被赋值,
Hash计算来自源五元组通过hash_conntrack_raw计算得来.那么snat的时候，基本ct处理后就是nat了，把ct里改变的是ct->tuplehash[IP_CT_DIR_REPLY].tuple信息，其他不变
这样的话 ipv4_confirm的时候，源hash不变，repl_hash重新计算（因为tuple的ip已经重新映射），然后加入inert ct的全局链表net->ct.hash[hash]
既然第一报文已经顺利发送出去，那么响应报文又是如何发给lan侧的呢？
首先202.20.65.5收到报文到prerouting钩子，nf_conntrack_in它会查询到ct信息
设置ctinfo 为IP_CT_ESTABLISHED_REPLY
然后看看ct timeout是否过期，然后调用l4proto->packet更新状态
Ct->status : confirmed + ips_src_nat 
我们知道prerouting只能进行dnat。然后会进入dnat的钩子函数nf_nat_ipv4_in
根据ctinfo的信息，直接进入nf_nat_packet处理.
它里面有个关键部分：

点击(此处)折叠或打开

  1. /* Invert if this is reply dir. */
  2.     if (dir == IP_CT_DIR_REPLY)
  3.         statusbit ^= IPS_NAT_MASK;
然后进行dnat处理根据ct信息修改skb指向的ip头信息.即所谓的de-snat.同理dnat
简单看下五元组信息的变化：
我们可以看看数据伍元整的流程：
Lan-wan：
Ct（snat）即ct->tuplehash信息
orig:192.168.1.x----202.20.65.4
reply:202.20.65.4----202.20.65.5
回复的报文：
查询到ct（根据202.20.65.4----202.20.65.5）
Prerouting上nat处理. 由于这个时候只能处理dnat，
找到ct里源五元组即192.168.1.x----202.20.65.4反转为202.20.65.4---192.168.1.x
Skb根据这个信息进行dnat映射。即完成了正常的通信.

当然nat还有其他很多复杂的应用，这里仅仅分析一个实例应用的流程，作为深入理解nat的开始.



文章标签：
云解析DNS
NAT网关
关键词：
云解析DNS iptables
NAT网关iptables
iptables NAT网关
云之大者
目录
相关文章
清雨小竹
|
Linux
centos使用iptables实现nat端口转发
centos使用iptables实现nat端口转发
清雨小竹
481 4
好奇的菜鸟
|
5月前
|
网络协议 Linux 网络安全
Iptables深度解析：四表五链与动作参数
Iptables深度解析：四表五链与动作参数
好奇的菜鸟
450 0
好奇的菜鸟
|
5月前
|
Linux 网络安全
NAT 技术与 Linux iptables
NAT 技术与 Linux iptables
好奇的菜鸟
82 0
风水道人
|
6月前
|
网络协议 开发工具 Docker
iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 9999 -j DNAT --to-destination 172.17.0.2:80 !
iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 9999 -j DNAT --to-destination 172.17.0.2:80 !
风水道人
119 1
刘俊涛liu
|
6月前
|
网络协议 网络安全 开发工具
iptables的源地址、目标地址转换
iptables的源地址、目标地址转换
刘俊涛liu
149 1
hy151217
|
6月前
|
网络安全 开发工具
iptables 源地址、目标地址转换
实验准备，配置web服务器，配置web防火墙网卡，配置客户机网卡，测试，开启防火墙功能，设置源地址转换，通过改变我客户机的地址身份为web服务器同网段来实现访问，通过改变目标地址（客户机）的地址为web同网段来实现
hy151217
115 0
讓丄帝愛伱
|
网络安全 Docker 容器
ERROR: Failed to Setup IP tables: Unable to enable SKIP DNAT rule
ERROR: Failed to Setup IP tables: Unable to enable SKIP DNAT rule
讓丄帝愛伱
102 0
我是koten
|
运维 Shell 网络安全
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）（三）
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）（三）
我是koten
2236 0
我是koten
|
运维 网络协议 网络安全
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）（二）
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）（二）
我是koten
850 0
我是koten
|
运维 网络协议 Linux
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）（一）
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）
我是koten
1749 0

热门文章

最新文章

  • 1
    《Android的设计与实现：卷I》——第3章 3.4init.rc文件解析过程
  • 2
    golang开发:类库篇(四)配置文件解析器goconfig的使用
  • 3
    Core Image 框架详细解析
  • 4
    ARP解析MAC地址的全过程（ARP的工作机制）
  • 5
    IOS中如何解析并显示Gif
  • 6
    Linux 文件系统全面解析：从基本原理到实际应用
  • 7
    《R语言数据挖掘：实用项目解析》——第2章，第2.9节无参数方法
  • 8
    Windows登录类型及安全日志解析
  • 9
    信息安全之DNS欺骗详解
  • 10
    DNS害我不能上网,找几个备用
  • 1
    ensp中nat server 公网访问内网服务器
    106
  • 2
    ensp中nat地址转换(静态nat 动态nat NAPT 和Easy IP)配置命令
    558
  • 3
    ENSP Nat地址转换（配置命令 ）
    179
  • 4
    IPv6地址之间的转换技术：NAT66
    843
  • 5
    【专栏】NAT技术是连接私有网络与互联网的关键，缓解IPv4地址短缺，增强安全性和管理性
    566
  • 6
    NewH3C—网络地址转换（NAT）
    59
  • 7
    什么是运营商级 NAT (CGNAT)？
    2134
  • 8
    端口地址转换（PAT）与私有IP的映射
    185
  • 9
    LVS详解（五）——LVS NAT模式实战
    134
  • 10
    iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 9999 -j DNAT --to-destination 172.17.0.2:80 !
    119

    • 相关课程

    更多
  • 第八届大学生创新创业大赛阿里命题IoT赛题解析
  • 云计算工程师解析与实战-网络专家篇（体验版）
  • 深入解析Docker容器化技术
  • Java面试疑难点解析 - 面试技巧及语言基础
  • Java面试疑难点解析 - Java Web开发
  • Java面试疑难点解析 - 系统架构及项目设计

    • 相关电子书

    更多
  • 神龙云服务器产品及技术深度解析
  • 弹性创造价值：基于ECS的最佳性价比实践解析
  • 又快又稳：阿里云下一代虚拟交换机解析

    • 相关实验场景

    更多
  • 通过云拨测对指定服务器进行Ping/DNS监测

    • 推荐镜像

    更多
  • DNS
  • kali-security
  • NTP
    • 下一篇
    阿里云OSS设置跨域访问