从openstack理解iptable中的snat规则

Question

这不是一个OpenStack问题，而是一个iptables问题。考虑NAT表中的以下链

Chain nova-network-POSTROUTING (1 references)
pkts bytes target     prot opt in     out     source               destination         
0     0 ACCEPT     all  --  any    any     172.16.100.0/24      10.128.0.223        
0     0 ACCEPT     all  --  any    any     172.16.100.0/24      172.16.100.0/24      ! ctstate DNAT
0     0 SNAT       all  --  any    any     172.16.100.6         anywhere             ctstate DNAT to:10.128.0.161

谁能告诉我第二条规则中"！ctstate DNAT“是什么意思，第三条规则中"ctstate DNAT to:10.128.0.161”是什么意思？

谢谢

Answer 1

第一条规则使用连接跟踪扩展ctstate并反转动态网络地址转换协议！--我相信规则是说，当源来自172.16.100.0/24并且目的地是相同的网络时，不要将源NAT (因此，如果这是一个虚拟路由器，那么dhcp提供的虚拟路由器，也就是在该子网上托管通信的任何主机)--第二部分172.16.100.6到任何地方都应该动态地NAT到10.128.0.161。因此，如果172.16.100.6是openstack外部路由器，则连接跟踪模块将匹配规则2用于内部通信量，规则3用于其他所有事务，即路由器和主机将始终匹配规则2首先用于内部通信量，但当主机离开段时，一个主机的源NAT‘’ed，或者换句话说，是代理服务器，因为默认路由可能是172.16.100.6。