Network Nat
源地址和目的地址相同时的网络行为及NAT回流原理 Q: 如果源地址和目的地址一样，会发生什么，路由如何决策，下一跳是什么？ 1. 本机环回通信（Loopback） 如果地址是环回地址（127.0.0.1/8 或 ::1），数据包会直接在本机内部处理 不会发送到物理网卡，而是通过内核的环回接口（lo）转发 下一跳就是本机自己 常用于测试本机网络服务 2. 本机其他IP地址 如果地址是本机配置的其他IP（如eth0的IP） 数据包也会通过环回接口处理 不会真正发出到网络中 路由表会优先选择本地路由 3. 路由决策过程 1. 首先查找是否是本机地址 2. 如果是本机地址，使用环回转发 3. 如果不是本机地址，按常规路由表规则转发 4. 特殊情况 某些操作系统可能会阻止这种通信 防火墙规则可能会影响处理方式 NAT环境可能导致异常 5. 安全考虑 源地址欺骗攻击可能利用这种情况 应该在防火墙层面进行适当控制 避免不必要的环回通信 Q: 为什么启用NAT回流就可以？ 1. 没有启用NAT回流时的问题 - 内网客户端访问外网映射地址时 - 数据包到达路由器后无法正确返回 - 因为源地址和目的地址在同一网段 - 导致无法完成地址转换和路由 2. 启用NAT回流后的处理流程 1. 内网客户端发送请求到外网映射地址 2. 数据包到达路由器 3. 路由器识别这是访问NAT映射地址 4. 执行DNAT，将目的地址改为内网实际地址 5. 执行SNAT，将源地址改为路由器地址 6. 转发到内网服务器 7. 返回数据包时再次进行地址转换 3. 关键点 通过双重NAT转换实现 源地址和目的地址被修改为不同地址 绕过了原本的路由限制 4. 配置示例（iptables） # DNAT规则 iptables -t nat -A PREROUTING -d [外网IP] -j DNAT --to-destination [内网IP] # SNAT规则 iptables -t nat -A POSTROUTING -s [内网网段] -d [内网IP] -j MASQUERADE 5. 使用场景 内网访问外网映射的内网服务 统一域名解析 保持内外网访问一致性 6. 注意事项 可能增加路由器负载 需要正确配置防火墙规则 建议只对必要服务启用 NAT回流通过地址转换机制，解决了内网访问映射地址的问题，使网络访问更加灵活。 ...