(18)-4.6 VPN和NAT計算機網(wǎng)絡(luò)計算機網(wǎng)絡(luò)

4.6VPN與NAT本講要點虛擬專用網(wǎng)VPN網(wǎng)絡(luò)地址轉(zhuǎn)換NAT重（難）點：VPN與NAT的工作原理4.6VPN與NAT

4.6.1虛擬專用網(wǎng)VPN專用網(wǎng)(專用互聯(lián)網(wǎng),本地互連網(wǎng))目的:節(jié)省全球IP地址,內(nèi)部網(wǎng)絡(luò)安全性屬于一個單位內(nèi)部的網(wǎng)絡(luò)關(guān)于地址本地地址——僅在機構(gòu)內(nèi)部使用的IP地址，可以由本機構(gòu)自行分配，而不需要向因特網(wǎng)的管理機構(gòu)申請。全球地址——全球惟一的IP地址，必須向因特網(wǎng)的管理機構(gòu)申請。RFC1918指明的專用地址(privateaddress)

10.0.0.0到10.255.255.255172.16.0.0到172.31.255.255192.168.0.0到192.168.255.255這些地址只能用于一個機構(gòu)的內(nèi)部通信，而不能用于和因特網(wǎng)上的主機通信。專用地址只能用作本地地址而不能用作全球地址。在因特網(wǎng)中的所有路由器對目的地址是專用地址的數(shù)據(jù)報一律不進行轉(zhuǎn)發(fā)。虛擬專用網(wǎng)VPN(VirtualPrivateNetwork)目的:使兩個物理位置不相鄰的專用網(wǎng)連接成一個網(wǎng)絡(luò)效果上與一個專用網(wǎng)絡(luò)一樣,實際不是。用隧道技術(shù)實現(xiàn)虛擬專用網(wǎng)X10.1.0.1部門A因特網(wǎng)部門BR1R2隧道125.1.2.3194.4.5.6Y10.2.0.3使用隧道技術(shù)本地地址本地地址全球地址網(wǎng)絡(luò)地址=10.1.0.0（本地地址）網(wǎng)絡(luò)地址=10.2.0.0（本地地址）隧道技術(shù) 如海底隧道，輪渡X10.1.0.1用隧道技術(shù)實現(xiàn)虛擬專用網(wǎng)部門A因特網(wǎng)部門BR1R2隧道125.1.2.3194.4.5.6Y10.2.0.3使用隧道技術(shù)加密的從

X

到

Y

的內(nèi)部數(shù)據(jù)報外部數(shù)據(jù)報的數(shù)據(jù)部分源地址：125.1.2.3目的地址：194.4.5.6數(shù)據(jù)報首部部門A部門BXYR1R2125.1.2.3194.4.5.610.1.0.110.2.0.3虛擬專用網(wǎng)VPN內(nèi)聯(lián)網(wǎng)intranet和外聯(lián)網(wǎng)extranet

（都是基于TCP/IP協(xié)議）

由部門A和B的內(nèi)部網(wǎng)絡(luò)所構(gòu)成的虛擬專用網(wǎng)VPN又稱為內(nèi)聯(lián)網(wǎng)(intranet)，表示部門A和B都是在同一個機構(gòu)的內(nèi)部。一個機構(gòu)和某些外部機構(gòu)共同建立的虛擬專用網(wǎng)VPN又稱為外聯(lián)網(wǎng)(extranet)。部門A部門BXYR1R2125.1.2.3194.4.5.610.1.0.110.2.0.3虛擬專用網(wǎng)VPNinternet服務(wù)器群一系二系……圖書館分校區(qū)VPN主校區(qū)內(nèi)聯(lián)網(wǎng)應(yīng)用舉例遠程接入VPN

(remoteaccessVPN)

在外地工作的員工撥號接入因特網(wǎng)，而駐留在員工PC機中的VPN軟件可在員工的PC機和公司的主機之間建立VPN隧道，因而外地員工與公司通信的內(nèi)容是保密的，員工們感到好像就是使用公司內(nèi)部的本地網(wǎng)絡(luò)。課后延伸VPN服務(wù)器和客戶端上應(yīng)該設(shè)置些什么？請通過查閱資料完成！4.6.2網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

(NetworkAddressTranslation)提出時間：1994年解決問題：專用網(wǎng)與外部網(wǎng)絡(luò)通信。技術(shù)支持：路由器、NAT軟件需要在專用網(wǎng)連接到因特網(wǎng)的路由器上安裝NAT軟件。裝有NAT軟件的路由器叫做NAT路由器，它至少有一個有效的外部全球地址IPG。所有使用本地地址的主機在和外界通信時都要在NAT路由器上將其本地地址轉(zhuǎn)換成IPG

才能和因特網(wǎng)連接。NAT的基本方法多臺主機同時上網(wǎng)怎么解決？如果NAT路由器有多個全球IP地址，就可以同時將多個本地地址轉(zhuǎn)換為全球IP，使多個擁有本地地址的主機能夠和因特網(wǎng)上的主機進行通信。通過端口復(fù)用用一個全球IP地址使多個擁有本地地址的主機同時和因特網(wǎng)上的不同主機進行通信。網(wǎng)絡(luò)地址與端口號轉(zhuǎn)換由于端口號字段有16比特，因此一個外部IP地址可支持60000多對內(nèi)部主機與外部主機的通信。本講小結(jié)：VPN與NAT