Hay tres sitios oficiales:
http://antarctica.penguincomputing.com/~netfilter/.
http://www.samba.org/netfilter.
http://netfilter.kernelnotes.org.La lista oficial de correo de netfilter está en el servidor de listas de
Samba:
http://lists.samba.org
Normalmente, los paquetes viajan en una red desde su origen (por ejemplo su ordenador) a su destino (como por ejemplo www.kernelnotes.org) a través de varios enlaces diferentes: unos 19 desde donde yo estoy en Australia (esto lo dice Rusty, claro). Ninguno de estos enlaces altera realmente el paquete: simplemente lo envían un paso adelante.
Si uno de estos enlaces hiciera NAT, podría alterar el origen o destino del paquete según pasa a través suyo. Como puede imaginar, ésta no es la función para la que se diseñó el sistema, y por tanto NAT es siempre un tanto enrevesado. Normalmente, el enlace que esté haciendo NAT recordará cómo jugueteó con el paquete, para hacer la acción inversa con el paquete de respuesta, de manera que todo funciona como se esperaba.
En un mundo perfecto, no debería. Mientras tanto, las razones principales son:
La mayoría de los PSI (Proveedor de Servicios de Internet) le dan una sola dirección IP cuando se conecta con ellos. Puede enviar paquetes con cualquier dirección que le plazca, pero sólo obtendrá respuestas a los paquetes con esa IP de origen. Si desea utilizar varias máquinas diferentes (como una red casera) para conectar a Internet a través de un enlace, necesita NAT.
Este es, de lejos, el uso más común de NAT hoy en día, conocido normalmente como «enmascaramiendo» (masquerading) en el mundo de Linux. Yo lo llamo SNAT, porque se cambia la dirección de origen (source) del primer paquete.
Puede que quiera cambiar el destino de los paquetes que entran en su red. Con frecuencia esto se debe (como antes), a que sólo tiene una dirección IP, pero desea que la gente sea capaz de llegar a las máquinas detrás de la que tiene la IP «real». Si reescribe el destino de los paquetes entrantes, podrá conseguirlo.
Una variante común de esto es el balanceo de carga, en la cual se toma un cierto número de máquinas, repartiendo los paquetes entre ellas. Este tipo de NAT se llamó reenvío de puerto (port-forwarding) en anteriores versiones de Linux.
Hay veces que deseará simular que cada paquete que pase por su máquina Linux esté destinado a un programa en la propia máquina. Esto se utiliza para hacer proxyes transparentes: un proxy es un programa que se pone entre su red y el mundo real, filtrando las comunicaciones entre ambos. La parte transparente se debe a que su red nunca tendrá por qué enterarse de que está comunicándose con un proxy, a menos, claro, que el proxy no funciones.
Se puede configurar Squid para que trabaje de esta manera, y a esto se le llamó redirección o proxy transparente en anteriores versiones de Linux.