iptables автоматически выполняет SNAT для ответного пакета, если это происходит, когда это произошло?

Question

Предположим, у нас есть маршрутизатор с внутренним ip(192.168.1.1) и внешним ip(192.0.2.5) и компьютер за маршрутизатором с внутренним ip(192.168.1.100). И маршрутизатор уже настроен на IP-адрес источника MASQUARADE, чтобы пользователь мог получить доступ к Интернету.

И я блуждаю, когда интернет-сервер отвечает на запрос пользователя с пакетом (SRC:8.8.8.8-> DST:192.0.2.5), и этот пакет переходит в iptables, но ни одно правило не было настроено для DNAT его обратно в IP пользователя, как пользователь даже получил ответ?

И я Google, кто-то сказал, что это DNATed автоматически Netfilter, я блуждаю, если это правда или нет, и если это правда, когда выполняется этот скрытый DNAT, выполняется ли он, когда пакет прибыл таблицы FILTER или таблицы NAT или что-то другое? И после того, как это DNATed, это войдет в таблицу ВХОДА ФИЛЬТРА или таблицу ВПЕРЕД?

Answer 1

Netfilter отслеживает информацию о том, что вы отправляете в цель MASQUERADE . Когда соответствующие ответы (пакеты) получены, они подчиняются таблице nat . Путь для входящих пакетов, проходящих через таблицу nat выглядит следующим образом:

1. ingress at router external interface
2. nat - PREROUTING
    a. convert external IP to internal IP
3. nat - POSTROUTING
4. egress at router internal interface
5. ingress at internal computer interface

DNAT выполняется в PREROUTING таблицы nat . Если исходным источником пакетов был внутренний компьютер в вашей локальной сети, пакеты не будут проходить через таблицу filter маршрутизатора, поскольку они распознаются как ранее NAT -пакеты на основе их исходного и / или IP-адреса назначения. Однако, если ваш маршрутизатор был исходным источником, а пакеты в конечном итоге предназначались для самого маршрутизатора, они проходили бы через таблицу filter маршрутизатора.