Linux的NAT是基于match的，即在满足一系列条件的前提下执行SNAT或者DNAT，因此要求也就比较宽松，唯一的约束就是路由，即路由动作发生的时候，必须是基于最终的目标IP地址，因此DNAT必须发生在路由之前(对于本机发出的数据包，则在路由之后，然后重新路由)，如下图所示
附：Netfilter与ip_conntrack
Netfilter
Linux的协议栈仅仅实现了基本的协议操作，对应TCP/IP标准，Linux的协议栈仅仅实现了一个最小集。其余的所有扩展几乎（并非所有！还有一部分由net schedule实现）均由Netfilter来实现，包括：IP Firewall，IP NAT，IPSec，IPVS等。
ip_conntrack
ip_conntrack是NAT实现的重中之重，Linux的NAT完全依赖ip_conntrack，依附于ip_conntrack之上。
基本数据结构：
值得注意的是，两个方向的五元组节点在confirm之后统一处在一个哈希表中，并不区别对待，只要使用一个五元组作为键查找到不管哪个方向的五元组节点，都可以找到ip_conntrack结构体本身。五元组节点除了包含五元组信息之外，还包含方向信息。