一般企业公司网络规划方案.docx

XX 有限公司网络规划方案
2.
、概述
简介 2
分类 2
应用 3
二、原理
4.
地址转换 4
连接跟踪 4
端口转换 5
Linux 下 NAT 实现路由功能 5.
netfilter/ipt机发出的请求包未经过NA］那么当Web Server收到请求包，回复的响应包
中的目的地址就是私网 IP 地址，在 In ternet 上无法正确送达，导致连接失败。
连接跟踪
在上述过程中， NAT Gateway 在收到响应包后，就需要判断将数据包转发给谁。此时如果 子网内仅有
少量客户机，可以用静态NAT 手工指定 ; 但如果内网有多台客户机，并且各自 访问不同网站，这时候
就需要连接跟踪 ( connection track ) 。在 NAT Gateway 收到客户 机发来的请求包后，做源地址转
换，并且将该连接记录保存下来，当 NAT Gateway 收到服 务器来的响应包后，查找Track Table
确定转发目标，做目的地址转换，转发给客户机。
端口转换
以上述客户机访问服务器为例，当仅有一台客户机访问服务器时， NAT Gateway 只须更改
数据包的源IP 或目的 IP 即可正常通讯。但是如果 Client A 和 Client B 同时访问 Web Server ，
那么当 NAT Gateway 收到响应包的时候， 就无法判断将数据包转发给哪台客户机。 此时， NAT
Gateway 会在 Connection Track 中加入端口信息加以区分。如果两客户机访 问同一服务器的源端口
不同，那么在Track Table 里加入端口信息即可区分，如果源端口正
好相同，那么在时行SNAT 和 DNAT 的同时对源端口也要做相应的转换。
三、 Linux 下 NAT 实现路由功能
netfilter/iptables 模块
netfilter/iptables ( IP信息包过滤系统)是一种功能强大的工具，根据数据包过滤规则， 对经过的
网络数据包进行丢弃、改造、转发等处理。
netfilter 组件也称为内核空间 ( kernelspace ) ，是内核的一部分，由一些数据包过滤表组成，这些
表包含内核用来控制信息包过滤处理的规则集。
iptables 组件是一种工具，也称为用户空间 ( userspace ) ，它主要用来向用户提供添加、 修改、删
除内核中数据过滤表的接口。
基于 netfilter/iptables 的 NAT
netfilter/iptables
filter
nat 和 mangle
filter表用于一般的信息包过滤，它包含 INPUT、OUTPUT和FORWARD!。nat表用于要转发的信
息包， 它包含PREROUTING OUTPUT和POSTROUTING!。 如果信息包及其头内进行了任何更改， 则使用mangle表。该表包含一些规则来标记用于高级路由的信息包，该表包含 PREROUTIN3口
OUTPUT!。
filter表用来过滤数据包，我们可以在任何时候匹配包弁过滤它们。Mangle不经常使用还 在开发当
中。我们下面主要介绍 Nat表来实现NAT功能。
(1)用户使用iptables