如何使用iptables、nftables添加NAPT/PAT规则实现跨接口无冲突报文转发

核心概念澄清 #

你提到的「NAT明确定义不包含四层改动」是学术范畴下静态NAT（仅修改IP层地址，不修改传输层端口）的定义，而工业界落地的动态NAT实现几乎都默认集成了PAT/NAPT能力，netfilter（iptables、nftables的底层框架）就是这类实现的典型，不需要单独开启PAT开关，当出现源端口冲突时会自动执行端口转换，不需要额外配置。

iptables 配置NAPT方法 #

netfilter中不存在单独的NAPT配置项，常用的源NAT规则默认就带NAPT能力：

• 动态出口IP场景（用出口接口IP做转换）

# 示例：将所有从eth1口发出的流量做带端口转换的伪装
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

该规则会自动处理源端口冲突：如果多个内网连接的五元组在转换后存在冲突，netfilter会自动修改冲突的源端口，保证出口连接的唯一性。

• 固定出口IP场景

# 示例：转换后的源IP固定为192.168.1.100
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 192.168.1.100

如果需要限定转换后的端口范围，避免占用本地服务的常用端口，可以追加端口参数：

# TCP、UDP流量的转换后端口限定在10000-60000区间
iptables -t nat -A POSTROUTING -o eth1 -p tcp -j SNAT --to-source 192.168.1.100:10000-60000
iptables -t nat -A POSTROUTING -o eth1 -p udp -j SNAT --to-source 192.168.1.100:10000-60000

nftables 配置NAPT方法 #

nftables的逻辑和iptables一致，源NAT规则默认支持端口转换：

• 动态出口IP场景

table ip nat {
    chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;
        oifname "eth1" masquerade
    }
}

• 固定出口IP+限定端口范围场景

table ip nat {
    chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;
        oifname "eth1" ip protocol tcp snat to 192.168.1.100:10000-60000
        oifname "eth1" ip protocol udp snat to 192.168.1.100:10000-60000
    }
}

验证NAPT生效 #

可以通过连接跟踪表确认端口转换逻辑是否正常运行：

conntrack -L

输出中可以看到内网原始连接和出口转换后连接的映射关系，如果存在不同内网源IP+相同源端口的连接对应不同的出口源端口，说明NAPT已经在正常处理端口冲突。

你搜索不到NAPT/PAT相关的独立配置文档，是因为netfilter生态默认将端口转换作为动态NAT的内置能力，没有做单独的术语区分，所以公开文档里都默认SNAT/MASQUERADE规则已经包含了NAPT的能力。

内容的提问来源于stack exchange，提问作者無名前