[轉]IPTABLES中SNAT和MASQUERADE的區別

IPtables中可以靈活的做各種網路地址轉換（NAT）
網路地址轉換主要有兩種：SNAT和DNAT

SNAT是source network address translation的縮寫即源地址目標轉換

比如，多個PC機使用ADSL路由器共享上網，每個PC機都配置了內網IP。PC機訪問外部網路的時候，路由器將資料包的報頭中的源地址替換成路由器的ip。當外部網路的伺服器比如網站web伺服器接到訪問請求的時候，他的日誌記錄下來的是路由器的ip地址，而不是pc機的內網ip。
這是因為，這個伺服器收到的資料包的報頭裡邊的“源地址”，已經被替換了。所以叫做SNAT，基於源地址的地址轉換。

DNAT是destination network address translation的縮寫即目標網路地址轉換

典型的應用是，有個web伺服器放在內網，配置內網ip，前端有個防火牆，配置公網ip，網際網路上的訪問者使用公網ip來訪問這個網站。當訪問的時候，客戶端發出一個資料包，這個資料包的報頭裡邊，目標地址寫的是防火牆的公網ip。防火牆會把這個資料包的報頭改寫一次，將目標地址改寫成web伺服器的內網ip，然後再把這個資料包傳送到內網的web伺服器上這樣，資料包就穿透了防火牆，並從公網ip變成了一個對內網地址的訪問了，即DNAT，基於目標的網路地址轉換 。

MASQUERADE，地址偽裝，在iptables中有著和SNAT相近的效果，但也有一些區別：

SNAT，DNAT，MASQUERADE都是NAT，MASQUERADE是SNAT的一個特例。
SNAT是指在資料包從網路卡傳送出去的時候，把資料包中的源地址部分替換為指定的IP，這樣，接收方就認為資料包的來源是被替換的那個IP的主機。

MASQUERADE是用傳送資料的網路卡上的IP來替換源IP，因此，對於那些IP不固定的場合，比如撥號網路或者透過dhcp分配IP的情況下，就得用MASQUERADE。

DNAT，就是指資料包從網路卡傳送出去的時候，修改資料包中的目的IP，表現為如果你想訪問A，可是因為閘道器做了DNAT，把所有訪問A的資料包的目的IP全部修改為B，那麼，你實際上訪問的是B。

因為，路由是按照目的地址來選擇的，因此，DNAT是在PREROUTING鏈上來進行的，而SNAT是在資料包傳送出去的時候才進行，因此是在POSTROUTING鏈上進行的

但使用SNAT的時候，出口ip的地址範圍可以是一個，也可以是多個，例如：