小王详解：内部网络中最易理解的NAT原理剖析，挑战你的认知极限

篇首语：本文由编程笔记#小编为大家整理，主要介绍了最浅显易懂的 NAT 原理解析，看不懂来打我相关的知识，希望对你有一定的参考价值。

1 概述
1.1 简介
1.1.1 名词解释

公有IP地址&＃xff1a;也叫全局地址&＃xff0c;是指合法的IP地址&＃xff0c;它是由NIC&＃xff08;网络信息中心&＃xff09;或者ISP(网络服务提供商)分配的地址&＃xff0c;对外代表一个或多个内部局部地址&＃xff0c;是全球统一的可寻 址的地址。

私有IP地址&＃xff1a;也叫内部地址&＃xff0c;属于非注册地址&＃xff0c;专门为组织机构内部使用。因特网分配编号委员会&＃xff08;IANA&＃xff09;保留了3块IP地址做为私有IP地址&＃xff1a;

10.0.0.0 ——— 10.255.255.255

172.16.0.0——— 172.16.255.255

192.168.0.0———192.168.255.255

地址池&＃xff1a;地址池是有一些外部地址&＃xff08;全球唯一的IP地址&＃xff09;组合而成&＃xff0c;我们称这样的一个地址集合为地址池。在内部网络的数据包通过地址转换到达外部网络时&＃xff0c;将会在地址池中选择某个IP地址作为数据包的源IP地址&＃xff0c;这样可以有效的利用用户的外部地址&＃xff0c;提高访问外部网络的能力。

1.1.2关于NAT

NAT英文全称是“Network Address Translation”&＃xff0c;中文意思是“网络地址转换”&＃xff0c;它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准&＃xff0c;允许一个整体机构以一个公用IP&＃xff08;Internet Protocol&＃xff09;地址出现在Internet上。顾名思义&＃xff0c;它是一种把内部私有网络地址&＃xff08;IP地址&＃xff09;翻译成合法网络IP地址的技术&＃xff0c;如下图所示。因此我们可以认为&＃xff0c;NAT在一定程度上&＃xff0c;能够有效的解决公网地址不足的问题。

 简单地说&＃xff0c;NAT就是在局域网内部网络中使用内部地址&＃xff0c;而当内部节点要与外部网络进行通讯时&＃xff0c;就在网关&＃xff08;可以理解为出口&＃xff0c;打个比方就像院子的门一样&＃xff09;处&＃xff0c;将内部地址替换成公用地址&＃xff0c;从而在外部公网&＃xff08;internet&＃xff09;上正常使用&＃xff0c;NAT可以使多台计算机共享Internet连接&＃xff0c;这一功能很好地解决了公共 IP地址紧缺的问题。通过这种方法&＃xff0c;可以只申请一个合法IP地址&＃xff0c;就把整个局域网中的计算机接入Internet中。这时&＃xff0c;NAT屏蔽了内部网络&＃xff0c;所有内部网计算机对于公共网络来说是不可见的&＃xff0c;而内部网计算机用户通常不会意识到NAT的存在。如下图所示。这里提到的内部地址&＃xff0c;是指在内部网络中分配给节点的私有IP地址&＃xff0c;这个地址只能在内部网络中使用&＃xff0c;不能被路由转发。

 NAT 功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中。比如Cisco路由器中已经加入这一功能&＃xff0c;网络管理员只需在路由器的ios中设置NAT功能&＃xff0c;就可以实现对内部网络的屏蔽。再比如防火墙将WEB Server的内部地址192.168.1.1映射为外部地址202.96.23.11&＃xff0c;外部访问202.96.23.11地址实际上就是访问访问 192.168.1.1。此外&＃xff0c;对于资金有限的小型企业来说&＃xff0c;现在通过软件也可以实现这一功能。Windows 98 SE、Windows 2000 都包含了这一功能。

1.2 分类

NAT有三种类型&＃xff1a;静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT&＃xff08;Port-Level NAT&＃xff09;。

 

1.2.1静态NAT

通过手动设置&＃xff0c;使 Internet 客户进行的通信能够映射到某个特定的私有网络地址和端口。如果想让连接在 Internet 上的计算机能够使用某个私有网络上的服务器&＃xff08;如网站服务器&＃xff09;以及应用程序&＃xff08;如游戏&＃xff09;&＃xff0c;那么静态映射是必需的。静态映射不会从 NAT 转换表中删除。 　　如果在 NAT 转换表中存在某个映射&＃xff0c;那么 NAT 只是单向地从 Internet 向私有网络传送数据。这样&＃xff0c;NAT 就为连接到私有网络部分的计算机提供了某种程度的保护。但是&＃xff0c;如果考虑到 Internet 的安全性&＃xff0c;NAT 就要配合全功能的防火墙一起使用。

对于以上网络拓扑图&＃xff0c;当内网主机 10.1.1.1如果要与外网的主机201.0.0.11通信时&＃xff0c;主机&＃xff08;IP&＃xff1a;10.1.1.1&＃xff09;的数据包经过路由器时&＃xff0c;路由器通过查找NAT table 将IP数据包的源IP地址&＃xff08;10.1.1.1&＃xff09;改成与之对应的全局IP地址&＃xff08;201.0.0.1&＃xff09;&＃xff0c;而目标IP地址201.0.0.11保持不变&＃xff0c;这样&＃xff0c;数据包就能到达201.0.0.11。而当主机HostB(IP:201.0.0.11) 响应的数据包到达与内网相连接的路由器时&＃xff0c;路由器同样查找NAT table&＃xff0c;将IP数据包的目的IP 地址改成10.1.1.1&＃xff0c;这样内网主机就能接收到外网主机发过来的数据包。在静态NAT方式中&＃xff0c;内部的IP地址与公有IP地址是一种一一对应的映射关系&＃xff0c;所以&＃xff0c;采用这种方式的前提是&＃xff0c;机构能够申请到足够多的全局IP地址。

1.2.2 动态NAT

动态地址NAT只是转换IP地址&＃xff0c;它为每一个内部的IP地址分配一个临时的外部IP地址&＃xff0c;主要应用于拨号&＃xff0c;对于频繁的远程联接也可以采用动态NAT。当远程用户联接上之后&＃xff0c;动态地址NAT就会分配给他一个IP地址&＃xff0c;用户断开时&＃xff0c;这个IP地址就会被释放而留待以后使用。

动态NAT方式适合于 当机构申请到的全局IP地址较少&＃xff0c;而内部网络主机较多的情况。内网主机IP与全局IP地址是多对一的关系。当数据包进出内网时&＃xff0c;具有NAT功能的设备对IP数据包的处理与静态NAT的一样&＃xff0c;只是NAT table表中的记录是动态的&＃xff0c;若内网主机在一定时间内没有和外部网络通信&＃xff0c;有关它的IP地址映射关系将会被删除&＃xff0c;并且会把该全局IP地址分配给新的IP数据包使用&＃xff0c;形成新的NAT table映射记录。

1.2.3网络地址端口转换NAPT

网络地址端口转换NAPT&＃xff08;Network Address Port Translation&＃xff09;则是把内部地址映射到外部网络的一个IP地址的不同端口上。它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与 动态地址NAT不同&＃xff0c;它将内部连接映射到外部网络中的一个单独的IP地址上&＃xff0c;同时在该地址上加上一个由NAT设备选定的端口号。

NAPT是使用最普遍的一种转换方式&＃xff0c;它又包含两种转换方式&＃xff1a;SNAT和DNAT。

(1)源NAT&＃xff08;Source NAT&＃xff0c;SNAT&＃xff09;&＃xff1a;修改数据包的源地址。源NAT改变第一个数据包的来源地址&＃xff0c;它永远会在数据包发送到网络之前完成&＃xff0c;数据包伪装就是一具SNAT的例子。

(2)目的NAT&＃xff08;Destination NAT&＃xff0c;DNAT&＃xff09;&＃xff1a;修改数据包的目的地址。Destination NAT刚好与SNAT相反&＃xff0c;它是改变第一个数据包的目的地地址&＃xff0c;如平衡负载、端口转发和透明代理就是属于DNAT。

源NAT举例&＃xff1a;对于以上网络拓扑图&＃xff0c;内网的主机数量比较多&＃xff0c;但是该组织只有一个合法的IP地址&＃xff0c;当内网主机&＃xff08;10.1.1.3&＃xff09;往外发送数据包时&＃xff0c;则需要修改数据包的IP地址和TCP/UDP端口号&＃xff0c;例如将

源IP&＃xff1a;10.1.1.3

源port&＃xff1a;1493

改成

源IP&＃xff1a;201.0.0.1

源port&＃xff1a;1492&＃xff08;注意&＃xff1a;源端口号可以与原来的一样也可以不一样&＃xff09;

当外网主机&＃xff08;201.0.0.11&＃xff09;响应内网主机&＃xff08;10.1.1.3&＃xff09;时&＃xff0c;应将&＃xff1a;

目的IP&＃xff1a;201.0.0.1

目的port&＃xff1a;1492

改成

目的IP&＃xff1a;10.1.1.3

目的port&＃xff1a;1493

这样&＃xff0c;通过修改IP地址和端口的方法就可以使内网中所有的主机都能访问外网&＃xff0c;此类NAT适用于组织或机构内只有一个合法的IP地址的情况&＃xff0c;也是动态NAT的一种特例。

 要为外网提供某些服务的情况。例如以上拓扑结构&＃xff0c;内网服务器群&＃xff08;ip地址分别为&＃xff1a;10.1.1.1,10.1.1.2,10.1.1.3等&＃xff09;需要为外网提供WEB 服务&＃xff0c;当外网主机HostB访问内网时&＃xff0c;所发送的数据包的目的IP地址为10.1.1.127&＃xff0c;端口号为&＃xff1a;80&＃xff0c;当该数据包到达内网连接的路由器时&＃xff0c;路由器查找NAT table&＃xff0c;路由器通过修改目的IP地址和端口号&＃xff0c;将外网的数据包平均发送到不同的主机上&＃xff08;10.1.1.1,10.1.1.2,10.1.1.3等&＃xff09;&＃xff0c;这样就实现了负载均衡。

相关视频推荐

P2P技术—NAT原理&＃xff0c;NAT类型&＃xff0c;网络穿透原理

《tcp/ip详解卷一》&＃xff1a; 150行代码拉开协议栈实现的篇章

学习地址&＃xff1a;c/c&＃43;&＃43; linux服务器开发/后台架构师

需要C/C&＃43;&＃43; Linux服务器架构师学习资料加qun812855908获取&＃xff08;资料包括C/C&＃43;&＃43;&＃xff0c;Linux&＃xff0c;golang技术&＃xff0c;Nginx&＃xff0c;ZeroMQ&＃xff0c;MySQL&＃xff0c;Redis&＃xff0c;fastdfs&＃xff0c;MongoDB&＃xff0c;ZK&＃xff0c;流媒体&＃xff0c;CDN&＃xff0c;P2P&＃xff0c;K8S&＃xff0c;Docker&＃xff0c;TCP/IP&＃xff0c;协程&＃xff0c;DPDK&＃xff0c;ffmpeg等&＃xff09;&＃xff0c;免费分享

 

2 NAT原理
2.1 地址转换

NAT的基本工作原理是&＃xff0c;当私有网主机和公共网主机通信的IP包经过NAT网关时&＃xff0c;将IP包中的源IP或目的IP在私有IP和NAT的公共IP之间进行转换。

如下图所示&＃xff0c;NAT网关有2个网络端口&＃xff0c;其中公共网络端口的IP地址是统一分配的公共 IP&＃xff0c;为202.20.65.5&＃xff1b;私有网络端口的IP地址是保留地址为192.168.1.1。私有网中的主机192.168.1.2向公共网中的主机202.20.65.4发送了1个IP包(Dst&＃61;202.20.65.4,Src&＃61;192.168.1.2)。

 源IP转换为NAT Gateway的公共IP并转发到公共网&＃xff0c;此时IP包&＃xff08;Dst&＃61;202.20.65.4&＃xff0c;Src&＃61;202.20.65.5&＃xff09;中已经不含任何私有网IP的信息。由于IP包的源IP已经被转换成NAT Gateway的公共IP&＃xff0c;Web Server发出的响应IP包&＃xff08;Dst&＃61; 202.20.65.5,Src&＃61;202.20.65.4&＃xff09;将被发送到NAT Gateway。

这时&＃xff0c;NAT Gateway会将IP包的目的IP转换成私有网中主机的IP&＃xff0c;然后将IP包&＃xff08;Des&＃61;192.168.1.2&＃xff0c;Src&＃61;202.20.65.4&＃xff09;转发到私有网。对于通信双方而言&＃xff0c;这种地址的转换过程是完全透明的。转换示意图如下。

 Web Server收到请求包&＃xff0c;回复的响应包中的目的地址就是私有网络IP地址&＃xff0c;在Internet上无法正确送达&＃xff0c;导致连接失败。

2.2 连接跟踪

在上述过程中&＃xff0c;NAT Gateway在收到响应包后&＃xff0c;就需要判断将数据包转发给谁。此时如果子网内仅有少量客户机&＃xff0c;可以用静态NAT手工指定&＃xff1b;但如果内网有多台客户机&＃xff0c;并且各自访问不同网站&＃xff0c;这时候就需要连接跟踪&＃xff08;connection track&＃xff09;。如下图所示&＃xff1a;

 在NAT Gateway收到客户机发来的请求包后&＃xff0c;做源地址转换&＃xff0c;并且将该连接记录保存下来&＃xff0c;当NAT Gateway收到服务器来的响应包后&＃xff0c;查找Track Table&＃xff0c;确定转发目标&＃xff0c;做目的地址转换&＃xff0c;转发给客户机。

2.3 端口转换

以上述客户机访问服务器为例&＃xff0c;当仅有一台客户机访问服务器时&＃xff0c;NAT Gateway只须更改数据包的源IP或目的IP即可正常通讯。但是如果Client A和Client B同时访问Web Server&＃xff0c;那么当NAT Gateway收到响应包的时候&＃xff0c;就无法判断将数据包转发给哪台客户机&＃xff0c;如下图所示。

 此时&＃xff0c;NAT Gateway会在Connection Track中加入端口信息加以区分。如果两客户机访问同一服务器的源端口不同&＃xff0c;那么在Track Table里加入端口信息即可区分&＃xff0c;如果源端口正好相同&＃xff0c;那么在实行SNAT和DNAT的同时对源端口也要做相应的转换&＃xff0c;如下图所示。

 NAT主要可以实现以下几个功能&＃xff1a;数据包伪装、平衡负载、端口转发和透明代理。

• 数据伪装: 可以将内网数据包中的地址信息更改成统一的对外地址信息&＃xff0c;不让内网主机直接暴露在因特网上&＃xff0c;保证内网主机的安全。同时&＃xff0c;该功能也常用来实现共享上网。例如&＃xff0c;内网主机访问外网时&＃xff0c;为了隐藏内网拓扑结构&＃xff0c;使用全局地址替换私有地址。
• 端口转发: 当内网主机对外提供服务时&＃xff0c;由于使用的是内部私有IP地址&＃xff0c;外网无法直接访问。因此&＃xff0c;需要在网关上进行端口转发&＃xff0c;将特定服务的数据包转发给内网主机。例如公司小王在自己的服务器上架设了一个Web网站&＃xff0c;他的IP地址为192.168.0.5&＃xff0c;使用默认端口80&＃xff0c;现在他想让局域网外的用户也能直接访问他的Web站点。利用NAT即可很轻松的解决这个问题&＃xff0c;服务器的IP地址为210.59.120.89&＃xff0c;那么为小王分配一个端口&＃xff0c;例如81&＃xff0c;即所有访问210.59.120.89:81的请求都自动转向192.168.0.5:80&＃xff0c;而且这个过程对用户来说是透明的。
• 负载平衡:目的地址转换NAT可以重定向一些服务器的连接到其他随机选定的服务器。例如1.2.3所讲的目的NAT的例子。
• 失效终结:目的地址转换NAT可以用来提供高可靠性的服务。如果一个系统有一台通过路由器访问的关键服务器&＃xff0c;一旦路由器检测到该服务器当机&＃xff0c;它可以使用目的地址转换NAT透明的把连接转移到一个备份服务器上&＃xff0c;提高系统的可靠性。
• 透明代理:例如自己架设的服务器空间不足&＃xff0c;需要将某些链接指向存在另外一台服务器的空间&＃xff1b;或者某台计算机上没有安装IIS服务&＃xff0c;但是却想让网友访问该台计算机上的内容&＃xff0c;这个时候利用IIS的Web站点重定向即可轻松的帮助我们搞定。

4 NAT的缺陷

NAT在最开始的时候是非常完美的&＃xff0c;但随着网络的发展&＃xff0c;各种新的应用层出不穷&＃xff0c;此时NAT也暴露出了缺点。NAT的缺陷主要表现在以下几方面&＃xff1a;

• (1) 不能处理嵌入式IP地址或端口

NAT设备不能翻译那些嵌入到应用数据部分的IP地址或端口信息&＃xff0c;它只能翻译那种正常位于IP首部中的地址信息和位于TCP/UDP首部中的端口信息&＃xff0c;如下图,由于对方会使用接收到的数据包中嵌入的地址和端口进行通信&＃xff0c;这样就可能产生连接故障&＃xff0c;如果通信双方都是使用的公网IP&＃xff0c;这不会造成什么问题&＃xff0c;但如果那个嵌入式地址和端口是内网的&＃xff0c;显然连接就不可能成攻&＃xff0c;原因就如开篇所说的一样。MSN Messenger的部分功能就使用了这种方式来传递IP和端口信息&＃xff0c;这样就导致了NAT设备后的客户端网络应用程序出现连接故障。

 

• (2) 不能从公网访问内部网络服务

由于内网是私有IP&＃xff0c;所以不能直接从公网访问内部网络服务&＃xff0c;比如WEB服务&＃xff0c;对于这个问题&＃xff0c;我们可以采用建立静态映射的方法来解决。比如有一条静态映射&＃xff0c;是把218.70.201.185:80与192.168.0.88:80映射起的&＃xff0c;当公网用户要访问内部WEB服务器时&＃xff0c;它就首先连接到218.70.201.185:80&＃xff0c;然后NAT设备把请求传给192.168.0.88:80&＃xff0c;192.168.0.88把响应返回NAT设备&＃xff0c;再由NAT设备传给公网访问用户。

• (3) 有一些应用程序虽然是用A端口发送数据的&＃xff0c;但却要用B端口进行接收&＃xff0c;不过NAT设备翻译时却不知道这一点&＃xff0c;它仍然建立一条针对A端口的映射&＃xff0c;结果对方响应的数据要传给B端口时&＃xff0c;NAT设备却找不到相关映射条目而会丢弃数据包。
• (4) 一些P2P应用在NAT后无法进行 对于那些没有中间服务器的纯P2P应用&＃xff08;如电视会议&＃xff0c;娱乐等&＃xff09;来说&＃xff0c;如果大家都位于NAT设备之后&＃xff0c;双方是无法建立连接的。因为没有中间服务器的中转&＃xff0c;NAT设备后的P2P程序在NAT设备上是不会有映射条目的&＃xff0c;也就是说对方是不能向你发起一个连接的。现在已经有一种叫做P2P NAT穿越的技术来解决这个问题。

5.结语

NAT技术无可否认是在ipv4地址资源的短缺时候起到了缓解作用&＃xff1b;在减少用户申请ISP服务的花费和提供比较完善的负载平衡功能等方面带来了不少好处。但是在ipv4地址在以后几年将会枯竭&＃xff0c;NAT技术不能改变ip地址空间不足的本质。然而在安全机制上也潜在着威胁&＃xff0c;在配置和管理上也是一个挑战。如果要从根本上解决ip地址资源的问题&＃xff0c;ipv6才是最根本之路。在ipv4转换到ipv6的过程中&＃xff0c;NAT技术确实是一个不错的选择&＃xff0c;相对其他的方案优势也非常明显。