10、使用 iptables 进行 NAT 和数据包处理

使用 iptables 进行 NAT 和数据包处理

1. 连接跟踪助手模块

IP_NF_FTP（FTP 协议支持）、IP_NF_IRC（IRC 协议支持）、IP_NF_TFTP（TFTP 协议支持）、IP_NF_AMANDA（Amanda 备份协议支持）和 IP_NF_CT_PROTO_SCTP（SCTP 协议连接跟踪支持）是针对它们所描述协议的连接跟踪助手。若要允许 NAT 端点使用这些协议之一，需编译相应模块并在启动防火墙时加载。

2. netfilter nat 表

nat 表包含三个链：PREROUTING、POSTROUTING 和 OUTPUT。每个链可能包含规则，内核会按顺序检查这些规则，直到有规则与数据包匹配，这与 netfilter 表中的链类似。可通过以下命令查看这些链：

router:~# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

若内核模块构建正确，在使用 iptables -t nat 发出任何命令时，Linu