1. 网络配置基础与场景解析
在Linux服务器运维中，网络配置是最基础的技能之一。CentOS 7作为企业级Linux发行版，其网络配置方式与早期版本有显著差异。传统ifcfg文件方式依然可用，但更推荐使用nmcli和nmtui工具进行管理。NAT（网络地址转换）模式特别适合以下场景：
- 开发测试环境需要隔离外部网络
- 服务器需要共享宿主机的公网IP
- 虚拟机需要安全上网但IP资源有限
我管理的多台测试服务器就采用NAT模式，既保证了开发团队联网需求，又避免了直接暴露在公网的风险。典型的NAT架构包含三个关键组件：
- 虚拟网络设备（virbr0）
- NAT转发规则（iptables/nftables）
- DHCP服务分配内网IP
重要提示：生产环境慎用NAT模式，可能影响网络性能。测试环境建议搭配bridge模式对比使用。
2. 环境准备与前置检查
2.1 系统环境确认
首先通过cat /etc/redhat-release确认系统版本。CentOS 7.4及以上版本网络管理工具更完善。检查NetworkManager服务状态：
systemctl status NetworkManager若未运行需先启用：
systemctl enable --now NetworkManager2.2 虚拟网络设备检查
使用ip addr查看现有网络接口。典型的NAT模式会显示virbr0设备：
3: virbr0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN link/ether 52:54:00:12:34:56 brd ff:ff:ff:ff:ff:ff inet 192.168.122.1/24 brd 192.168.122.255 scope global virbr0若无该设备，需安装libvirt组件：
yum install -y libvirt-daemon libvirt-client3. NAT网络详细配置流程
3.1 配置虚拟网络
使用virsh工具创建NAT网络：
virsh net-define /dev/stdin <<EOF <network> <name>nat_network</name> <forward mode='nat'/> <bridge name='virbr0' stp='on' delay='0'/> <ip address='192.168.122.1' netmask='255.255.255.0'> <dhcp> <range start='192.168.122.2' end='192.168.122.254'/> </dhcp> </ip> </network> EOF激活并设置开机启动：
virsh net-start nat_network virsh net-autostart nat_network3.2 防火墙规则配置
CentOS 7默认使用firewalld，需放行NAT流量：
firewall-cmd --permanent --zone=public --add-masquerade firewall-cmd --reload验证规则：
iptables -t nat -L -n -v应看到类似输出：
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 0 0 MASQUERADE all -- * * 192.168.122.0/24 !192.168.122.0/244. 客户端网络配置
4.1 虚拟机网络连接
在KVM/QEMU虚拟机配置中，选择网络源为"nat_network"。使用virt-manager图形工具时：
- 打开虚拟机详情 > 添加硬件 > Network
- 选择Host device: virbr0
- 设备模型推荐virtio
4.2 手动配置静态IP（可选）
如需固定IP，在客户端修改网卡配置（示例为eth0）：
nmcli con mod eth0 ipv4.addresses 192.168.122.100/24 nmcli con mod eth0 ipv4.gateway 192.168.122.1 nmcli con mod eth0 ipv4.dns 8.8.8.8 nmcli con mod eth0 ipv4.method manual nmcli con up eth05. 网络验证与排错
5.1 基础连通性测试
在客户端依次执行：
ping 192.168.122.1 # 测试网关连通 ping 8.8.8.8 # 测试外网连通 host example.com # 测试DNS解析5.2 常见问题排查表
| 故障现象 | 检查命令 | 解决方案 |
|---|---|---|
| 无法获取IP | journalctl -u NetworkManager | 检查DHCP服务是否运行 |
| 能ping通网关但无法上网 | iptables -t nat -L | 确认MASQUERADE规则存在 |
| DNS解析失败 | cat /etc/resolv.conf | 手动指定DNS服务器 |
| 虚拟机间无法通信 | brctl show virbr0 | 检查网桥绑定状态 |
5.3 性能优化技巧
关闭STP协议（小型网络适用）：
virsh net-edit nat_network # 修改<bridge stp='off'/>调整MTU值提升吞吐量：
ip link set dev virbr0 mtu 9000启用TCP窗口缩放：
echo 'net.ipv4.tcp_window_scaling = 1' >> /etc/sysctl.conf
6. 高级配置与扩展
6.1 端口转发实现
将宿主机的8080端口转发到虚拟机的80端口：
virsh net-update nat_network add ip-dhcp-host \ "<host mac='52:54:00:12:34:56' name='vm1' ip='192.168.122.100'/>" \ --live --config firewall-cmd --permanent --add-forward-port=port=8080:proto=tcp:toport=80:toaddr=192.168.122.100 firewall-cmd --reload6.2 多NAT网络隔离
创建第二个NAT网络（192.168.123.0/24）：
virsh net-define /dev/stdin <<EOF <network> <name>nat_network2</name> <bridge name='virbr1'/> <ip address='192.168.123.1' netmask='255.255.255.0'/> </network> EOF6.3 网络流量监控
使用nftables统计NAT流量：
nft add table nat nft add chain nat postrouting { type nat hook postrouting priority 100 \; } nft add rule nat postrouting counter nft list ruleset7. 安全加固建议
限制DHCP租约数量：
<dhcp> <range start='192.168.122.100' end='192.168.122.200'/> <lease expiry='86400'/> </dhcp>启用MAC地址过滤：
virsh net-update nat_network add port-group \ "<portgroup name='protected' default='no'/>" --config --live定期清理iptables规则：
iptables -t nat -F POSTROUTING systemctl restart libvirtd
实际运维中发现，NAT网络最常出现的问题是防火墙规则冲突。建议在变更网络配置前，先执行firewall-cmd --runtime-to-permanent保存当前规则快照。当出现网络异常时，比较前后规则差异能快速定位问题源。
