1. 网络配置基础与场景解析

在Linux服务器运维中，网络配置是最基础的技能之一。CentOS 7作为企业级Linux发行版，其网络配置方式与早期版本有显著差异。传统ifcfg文件方式依然可用，但更推荐使用nmcli和nmtui工具进行管理。NAT（网络地址转换）模式特别适合以下场景：

• 开发测试环境需要隔离外部网络
• 服务器需要共享宿主机的公网IP
• 虚拟机需要安全上网但IP资源有限

我管理的多台测试服务器就采用NAT模式，既保证了开发团队联网需求，又避免了直接暴露在公网的风险。典型的NAT架构包含三个关键组件：

1. 虚拟网络设备（virbr0）
2. NAT转发规则（iptables/nftables）
3. DHCP服务分配内网IP

重要提示：生产环境慎用NAT模式，可能影响网络性能。测试环境建议搭配bridge模式对比使用。

2. 环境准备与前置检查

2.1 系统环境确认

首先通过cat /etc/redhat-release确认系统版本。CentOS 7.4及以上版本网络管理工具更完善。检查NetworkManager服务状态：

systemctl status NetworkManager

若未运行需先启用：

systemctl enable --now NetworkManager

2.2 虚拟网络设备检查

使用ip addr查看现有网络接口。典型的NAT模式会显示virbr0设备：

3: virbr0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN link/ether 52:54:00:12:34:56 brd ff:ff:ff:ff:ff:ff inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0

若无该设备，需安装libvirt组件：

yum install -y libvirt-daemon libvirt-client

3. NAT网络详细配置流程

3.1 配置虚拟网络

使用virsh工具创建NAT网络：

virsh net-define /dev/stdin <<EOF <network> <name>nat_network</name> <forward mode='nat'/> <bridge name='virbr0' stp='on' delay='0'/> <ip address='192.168.122.1' netmask='255.255.255.0'> <dhcp> <range start='192.168.122.2' end='192.168.122.254'/> </dhcp> </ip> </network> EOF

激活并设置开机启动：

virsh net-start nat_network virsh net-autostart nat_network

3.2 防火墙规则配置

CentOS 7默认使用firewalld，需放行NAT流量：

firewall-cmd --permanent --zone=public --add-masquerade firewall-cmd --reload

验证规则：

iptables -t nat -L -n -v

应看到类似输出：

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 0 0 MASQUERADE all -- * * 192.168.122.0/24 !192.168.122.0/24

4. 客户端网络配置

4.1 虚拟机网络连接

在KVM/QEMU虚拟机配置中，选择网络源为"nat_network"。使用virt-manager图形工具时：

1. 打开虚拟机详情 > 添加硬件 > Network
2. 选择Host device: virbr0
3. 设备模型推荐virtio

4.2 手动配置静态IP（可选）

如需固定IP，在客户端修改网卡配置（示例为eth0）：

nmcli con mod eth0 ipv4.addresses 192.168.122.100/24 nmcli con mod eth0 ipv4.gateway 192.168.122.1 nmcli con mod eth0 ipv4.dns 8.8.8.8 nmcli con mod eth0 ipv4.method manual nmcli con up eth0

5. 网络验证与排错

5.1 基础连通性测试

在客户端依次执行：

ping 192.168.122.1 # 测试网关连通 ping 8.8.8.8 # 测试外网连通 host example.com # 测试DNS解析

5.2 常见问题排查表

5.3 性能优化技巧

1. 关闭STP协议（小型网络适用）：

   virsh net-edit nat_network # 修改<bridge stp='off'/>

2. 调整MTU值提升吞吐量：

   ip link set dev virbr0 mtu 9000

3. 启用TCP窗口缩放：

   echo 'net.ipv4.tcp_window_scaling = 1' >> /etc/sysctl.conf

6. 高级配置与扩展

6.1 端口转发实现

将宿主机的8080端口转发到虚拟机的80端口：

virsh net-update nat_network add ip-dhcp-host \ "<host mac='52:54:00:12:34:56' name='vm1' ip='192.168.122.100'/>" \ --live --config firewall-cmd --permanent --add-forward-port=port=8080:proto=tcp:toport=80:toaddr=192.168.122.100 firewall-cmd --reload

6.2 多NAT网络隔离

创建第二个NAT网络（192.168.123.0/24）：

virsh net-define /dev/stdin <<EOF <network> <name>nat_network2</name> <bridge name='virbr1'/> <ip address='192.168.123.1' netmask='255.255.255.0'/> </network> EOF

6.3 网络流量监控

使用nftables统计NAT流量：

nft add table nat nft add chain nat postrouting { type nat hook postrouting priority 100 \; } nft add rule nat postrouting counter nft list ruleset

7. 安全加固建议

1. 限制DHCP租约数量：

   <dhcp> <range start='192.168.122.100' end='192.168.122.200'/> <lease expiry='86400'/> </dhcp>

2. 启用MAC地址过滤：

   virsh net-update nat_network add port-group \ "<portgroup name='protected' default='no'/>" --config --live

3. 定期清理iptables规则：

   iptables -t nat -F POSTROUTING systemctl restart libvirtd

实际运维中发现，NAT网络最常出现的问题是防火墙规则冲突。建议在变更网络配置前，先执行firewall-cmd --runtime-to-permanent保存当前规则快照。当出现网络异常时，比较前后规则差异能快速定位问题源。