Dacă destinația își poate direcționa traficul către sursă, nu este necesar niciun NAT sau PAT.
De exemplu, nu este necesar NAT/PAT dacă clienții VPN din 10.8.0.0/24 doresc să vorbească cu dispozitivele dumneavoastră LAN în 192.168.1.0/24, atâta timp cât dispozitivele implicate pot ruta către cealaltă rețea (prin gateway-ul lor). ).
Când sursa se află într-o rețea rfc1918 (IP privată) și destinația este un IP public, deoarece rețelele rfc1918 nu sunt rutabile prin Internet, este necesar un NAT pentru a înlocui IP-ul privat cu IP-ul public. Aceasta este traducerea adresei sursă. Această lucrare poate fi făcută de un SNAT, nu de un PAT.
În plus, vă înșelați presupunând că SNAT/MASQUERADE nu schimbă porturile sursă.
Opțiunea --to-source este folosită pentru a specifica ce sursă ar trebui să utilizeze pachetul. Această opțiune, în cel mai simplu mod, necesită o adresă IP pe care dorim să o folosim pentru adresa IP sursă din antetul IP. Dacă dorim să echilibrăm mai multe adrese IP, putem folosi o serie de adrese IP, separate printr-o cratimă. Numerele IP --to--source ar putea fi atunci, de exemplu, ceva ca în exemplul de mai sus: 194.236.50.155-194.236.50.160. IP-ul sursă pentru fiecare flux pe care îl deschidem ar fi apoi alocat aleatoriu din acestea și un singur flux ar folosi întotdeauna aceeași adresă IP pentru toate pachetele din acel flux. De asemenea, putem specifica o gamă de porturi care urmează să fie utilizate de SNAT. Toate porturile sursă ar fi apoi limitate la porturile specificate. Bitul de port al regulii ar arăta ca în exemplul de mai sus, :1024-32000. Acest lucru este valabil numai dacă -p tcp sau -p udp a fost specificat undeva în potrivirea regulii în cauză. iptables va încerca întotdeauna să evite modificarea porturilor, dacă este posibil, dar dacă două gazde încearcă să folosească aceleași porturi, iptables va mapa unul dintre ele la alt port. Dacă nu este specificat niciun interval de porturi, atunci dacă sunt necesare, toate porturile sursă sub 512 vor fi mapate la alte porturi sub 512. Cele dintre porturile sursă 512 și 1023 vor fi mapate la porturile sub 1024. Toate celelalte porturi vor fi mapate la 1024 sau mai sus.După cum sa menționat anterior, iptables va încerca întotdeauna să mențină porturile sursă utilizate de stația de lucru care realizează conexiunea. Rețineți că acest lucru nu are nicio legătură cu porturile de destinație, așa că dacă un client încearcă să ia contact cu un server HTTP din afara firewall-ului, acesta nu va fi mapat la portul de control FTP.
https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#SNATTARGET
Rețineți că, dacă dispozitivul dvs. dorește să ajungă la un server la distanță pe un anumit port de destinație, există șanse ca sistemul de operare să fi atribuit deja un port sursă aleatoriu peste 1024.
Atingerea unui server HTTPS la distanță pe portul 443 nu implică faptul că portul sursă este 443.
