snat核心是隐藏源ip地址而非源端口，源端口默认保持不变以保障会话连续性；其作用于nat表postrouting链，通过conntrack自动维护映射关系，确保响应包正确回传。

Linux中SNAT不隐藏“源端口”，而是隐藏源IP地址；端口本身通常保留不变（除非显式用--to-source ip:port做端口映射）。所谓“隐藏源端口信息”实际是误解——SNAT的核心目标是让外网看到的源IP统一为网关公网IP，而源端口由内核自动分配或复用，无需、也不建议手动干预端口值来“隐藏”。

SNAT真正起作用的位置和原理

SNAT发生在nat表的POSTROUTING链，在数据包即将离开本机时修改其源IP。内核连接跟踪（conntrack）会自动记录原始src_ip:src_port → dst_ip:dst_port与转换后new_src_ip:src_port的映射关系，确保响应包能正确回传。源端口默认保持原样，这是维持TCP/UDP会话连续性的必要设计。

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

常见配置方式（只改IP，不碰端口）

• 对整个内网网段做统一出口IP伪装（最常用）：
  iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to-source 203.0.113.5
• 若出口接口IP可能变动（如拨号或DHCP），用MASQUERADE自动适配：
  iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE
• 如需强制固定某类连接使用特定源端口（极少见，仅调试或特殊协议需要）：
  iptables -t nat -A POSTROUTING -s 192.168.1.100 -p tcp --dport 80 -j SNAT --to-source 203.0.113.5:31000
  ⚠️ 注意：这会把所有匹配流量的源端口强制设为31000，易导致端口冲突，一般不推荐。

为什么不该、也不能靠“改端口”来隐藏

源端口是传输层会话标识的关键字段。强行统一或固定源端口会导致：

• 多个并发连接被映射到同一(IP:Port)五元组，触发conntrack冲突或连接拒绝
• 服务器无法区分不同客户端，破坏HTTP Keep-Alive、FTP主动模式等依赖端口协商的协议
• 日志和监控中丢失真实的客户端连接特征，增加排障难度

想增强隐蔽性？正确做法是组合策略

• 开启连接跟踪限制，防扫描：
  sysctl -w net.netfilter.nf_conntrack_max=65536
• 配合状态防火墙，只允许已建立连接的返回流量：
  iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
• 关闭不必要的ICMP响应，减少指纹暴露：
  echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all