[D41打卡]
在已有的项目经验中,还未涉及到过NAT.
倒是本地的虚拟机环境下,或者路由器上,会看到nat相关选项.

问题一:当多个内网 IP 地址的端口号相同时，MASQUERADE 还可以正常工作吗？
我觉得是可以正常工作的,要不然就不会允许设置ip地址段了.😁[纯属猜测哈]
在路由器上做端口映射时,一个外网端口只能对应一个内网的IP.
但是反方向,nat在转换源地址时,应该会记录原来的连接信息吧.要不然收到包该给谁发呢.

问题二:如果内网 IP 地址数量或请求数比较多，这种方式有没有什么隐患呢？
根据之前的经验,在请求数过多时,会导致CPU软中断上升.
再谷歌了下,有看到说:
iptables的conntrack表满了导致访问网站很慢.[https://my.oschina.net/jean/blog/189935]
    ```kernel 用 ip_conntrack 模块来记录 iptables 网络包的状态，并保存到 table 里（这个 table 在内存里），如果网络状况繁忙，比如高连接，高并发连接等会导致逐步占用这个 table 可用空间。```

优化Linux NAT网关[https://tech.youzan.com/linux_nat/]
    ```net.netfilter.nfconntrackbuckets 这个参数，默认有点小，连接数多了以后，势必造成“哈希冲突”增加，“哈希处理”性能下降。（ 是这样吗？）```

对于问题1：可以工作，因为NAT转换是通过状态连接表的，状态连接表中会记录正向数据的状态的五元组和返现数据的五元组，通过查找此状态连接进行逆向转换（例如SNAT的反向转换），建立一一对应的关系。有了这些表示就可以进行完全转换，对于不同内网IP的相同端口数据包，进行MASQUERADE时，会随机选择一个出接口的IP，若此时不同内网IP访问的目的IP通过路由，都是从MASQUERADE设备的同一个口出去，那么他们做SNAT时会使用相同的IP，为了达到一一对应区别不同的内网IP，此时选择一个未被使用的端口进行SAPT，这样反向的数据访问相同的外网IP，通过不同目的端口，找到相应内网IP。
对于问题2，若是请求数量比较多，对于问题一中需要进行SAPT的被占用端口数将是其瓶颈，还需要考虑状态连接的总数最大值，是否为瓶颈。
对于两个问题，这是我的理解，若有错误，希望老师指正，不要因为我的错误回答，误导队友的理解。谢谢老师，不吝赐教。

1）iptalbes的三个表

filter 这个表主要用于过滤包的，是系统预设的表，这个表也是阿铭用的最多的。内建三个链INPUT、OUTPUT以及FORWARD。INPUT作用于进入本机的包；OUTPUT作用于本机送出的包；FORWARD作用于那些跟本机无关的包。

nat 主要用处是网络地址转换，也有三个链。PREROUTING 链的作用是在包刚刚到达防火墙时改变它的目的地址，如果需要的话。OUTPUT链改变本地产生的包的目的地址。POSTROUTING链在包就要离开防火墙之前改变其源地址。该表阿铭用的不多，但有时候会用到。

mangle 这个表主要是用于给数据包打标记，然后根据标记去操作哪些包。这个表几乎不怎么用。除非你想成为一个高级网络工程师，否则你就没有必要花费很多心思在它上面。