NAT网络地址转换协议

大耗子 2020年11月15日 37次浏览

NAT简介

  • 在私网与外网通信的过程中, 私网与公网连接的边沿节点被称为路由器。 比如私网内部网络为 192.168.1.0 的网络。 路由器的公网 IP 为 112.93.114.32, 服务器的公网 IP 地址为120.93.24.180。 服务器发送数据与路由器公网 IP 时,能够将数据映射到私网中的机器;私网内的机器发送数据给服务器,路由器也能够映射为公网 IP 地址的过程,成为网络地址映射。
  • NAT (Network Address Translation, 网络地址映射)是将公网地址映射为私网地址。
    而能够进行映射的网络装置被称为 NAT 路由器。
    nat

NAT 的原理

  • 由于全球网络通信机器增加, IPv4 地址紧缺, 所以提出了 NAT 的理论, 通过公网 IP 地址与端口映射到私网机器的 IP 地址与端口。 这样就能通过少量的公有 IP 地址能够代表较多的私有 IP 地址,有助于减缓可用 IPv4 地址的耗尽。
    nat工作拓扑图
  • 私网内机器上操作系统中的一个网络进程, 与公网服务器 120.93.24.180 机器通信,NAT 路由器为每一个网络进程分配一个网络 IP 地址与端口,用于与公网服务器通信。 与此同时,公网服务器与私网内的网络进程通信,也是通过 NAT 路由器分配的网络 IP 地址与端口进入私网到达网络进程。

NAT的实现

  • NAT 的实现方案有三种:静态转换,动态转换,端口地址映射。jian'ti

  • 静态转换(Static NAT): 私网 IP 地址转换为公网 IP 地址, 公网 IP 与私网 IP 地址通
    过一对一的配置,配置后是不能更改的。通过静态转换, 实现对私网中的网络进程进行访问。
    私网有多少私有地址需要与公网通信,需要配置与之对应的外网 IP 地址,并不节省公网 IP
    地址,所以一般不用。
    nat静态映射

  • 动态转换(Dynamic NAT): 为私网分配多个公网 IP 地址, 组成一个公网 IP 地址池。私网内部地址需要转换时, NAT 路由器从公网 IP 地址池中取出一个 IP 地址,分配给私网机器用于网络通信。 当私网机器数据传输结束后, NAT 路由器收回公网 IP 地址,返回 IP 地址池中。 分配后的 IP 地址是不能再用于其他数据传输。 在公网 IP 地址数量略少于私网机器数量的时候,可以采用动态转换
    nat动态转换

  • 端口地址映射(Port Address Translation, PAT): 改变私网内机器发送到公网数据包的源端口并进行端口转换 (如图 5-6。 私网内部的所有主机均可共享一个公网 IP 地址,实现对公网的访问, 从而能够最大限度的节省 IP 地址资源。 同时,有隐藏私网中的所有主机,有效避免其他公网机器的攻击。 目前 NAT 路由器应用最广的就是端口地址映射。
    nat端口地址映射

NAT种类

  • 从 NAT 的技术实现角度, 可以分为三种,静态转换(Static NAT),动态转换(DynamicNAT), 端口地址映射(Port Address Translation, PAT)。
  • 从 NAT 的功能, 可以分为四种: 完全锥型 NAT(Full Cone NAT), 对称 NAT(Symmetric NAT), IP 限制锥型 NAT(IP Restricted Cone NAT),端口限制锥形 NAT(Port Restricted Cone NAT)。
    NAT分类

完全锥型 NAT

  • 完全锥型 NAT(Full Cone NAT),私网机器的网络进程(iAddr:iPort)被 NAT 路由器映射为公网地址( pAddr:pPort),后续该网络进程的所有数据报文都被转换为公网地址(pAddr:pPort),公网任何一台机器发送报文到(pAddr:pPort),会被转发到私网机器的网络进程(iAddr:iPort)。也就是说只要知道映射的公网的ip:port,就可以从公网直接穿透到内网。
    完全锥形NAT

对称 NAT

  • 对称 NAT(Symmetric NAT), NAT 路由器会为私网机器的每一个网络进程都会分配一个地址与端口,从而把私网网络进程(iAddr1:iPort1) 与公网地址(pAddr1:pPort1)对应起来。后续NAT 路由器会把私网机器地址端口(iAddr1:iPort1)与公网地址端口(pAddr1:pPort1)完全相同的报文看作一个连接。
  • 私网机器的网络进程每与一台公网机器通信, NAT 路由器都会重新分配一个地址端口。 这样使得每一个通信链路都是经过 NAT 路由器不同的端口。 公网机器往私网发送报文也是经过不一样的端口。 也就是说每多一个连接,就多一个端口映射。而不像完全锥形NAT,共用一个ip:port。
    对称NAT

IP 限制锥形 NAT

  • IP 限制锥型 NAT。限制锥型 NAT,只允许映射关系的对应公网 IP 地址机器,传输数据到私网机器。其他的公网 IP 地址机器发送数据给 NAT 路由器的公网 IP 地址与端口时, 则会被 NAT 路由器丢弃。也就是说NAT转换表中没有对应的目的ip,那么报文会被丢弃。

端口限制锥形 NAT

  • 端口限制锥形 NAT(Port Restricted Cone NAT), 在 IP 限制锥型 NAT 的基础上,又添加了一层端口限制。 限制了发送报文进入私网的 IP 地址与端口。也就是说NAT转换表中没有对应的ip:port,那么报文会被丢弃。