在linux操作系统中，Netfilter组件是集成在linux内核中扩展各种网络服务的结构化底层框架，在内核级提供防火墙功能。内核中选取五个位置放了五个hook(勾子) function(INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING)，而这五个hook function向用户开放，用户可以通过一个命令工具（iptables）向其写入规则。
报文流向：
流入本机：PREROUTING --> INPUT-->用户空间进程
流出本机：用户空间进程-->OUTPUT--> POSTROUTING
转发：PREROUTING --> FORWARD --> POSTROUTING
内核中数据包的传输过程：
（1）当一个数据包进入网卡时，数据包首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去
（2）如果数据包就是进入本机的，数据包就会到达INPUT链。经INPUT链检查后，数据包被发往本地进程。本地进程进行相应处理后发送响应数据包，数据包经过OUTPUT链，然后到达POSTROUTING链输出；如果数据包是要转发出去的，且内核允许转发，数据包就会向右移动，经过FORWARD链，然后到达POSTROUTING链输出。
企业内部的主机A若配了一个公网地址6.6.6.6，访问互联网上其他网段的公有地址不受限制，但若访问互联网上同网段的地址即6.0.0.0/8网段的地址，由于A的路由表就有到达该网段的路由记录，就直接访问了，不会去查询路由器，但是实际上访问的不是互联网上的主机，而是本地局域网的主机，也就是说该网段的所有公有地址A都将无法访问。所以企业内部的主机一般是私有地址，但是互联网上没有私有地址的路由，也就是说私有地址无法连接互联网，可以利用防火墙的nat表（network address translation 地址转换规则表）将私有地址转换为公有地址再去访问互联网。
1 SNAT
企业内部的主机A想访问互联网上的主机C，首先将请求数据包（源：ipA，目标：ipC）发送到防火墙所在主机B，B收到后将数据包源地址改为本机公网网卡的ip（源：ipB，目标：ipC），然后经互联网发送给C；C收到后将回应包（源：ipC，目标：ipB）转发给C的路由器，经互联网将回应包转发给B，在B网关路由中会有一个状态记录（局域网内或许不止一台主机访问外网），B收到回应包后修改其目的地址，即回应包改为（源：ipC，目标：ipA）转发回给A。
在这个过程中，修改了请求报文的源地址，叫做SNAT（source NAT POSTROUTING），用于局域网访问互联网。
不能在防火墙B的prerouting链上设置转换源地址的防火墙策略，因为若在B的prerouting链上设置转换源地址的防火墙策略，此时还未检查路由表，还不知道要到达数据包中目标主机需经过本机的哪个网卡接口，即还不知道需将源地址替换为哪个公网网卡的ip，需在postrouting设置转换源地址的防火墙策略。
实验环境：
2 DNAT
互联网主机C想访问企业内部的web服务器A，但A的地址是私有地址，无法直接访问。此时，C可以访问防火墙的公网地址，C的请求数据包（源：ipC，目标：ipB）到达防火墙B后，在B的prerouting上将请求数据包的目标地址进行修改，并将数据包（源：ipC，目标：ipA）发送给A。A收到后进行回复发送响应包（源：ipA，目的ipC）到防火墙，防火墙收到后对数据包源地址进行修改，并将响应包（源：ipB，目标：ipC）给C。利用这种机制可以将企业内部的服务发布到互联网。
在这个过程中，修改了请求报文的目标地址，叫做DNAT（destination NAT POSTROUTING），用于互联网访问局域网。
必须在防火墙的prerouting上设置修改目标地址的防火墙策略，因为若不在此处修改，请求数据包通过prerouting和路由表后，由于目标主机是本机，就会将数据包发往input，进而被发往本地进程。
实验环境：（本实验中用172.18.0.0/16网段模拟公网ip）