網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅計(jì)算機(jī)網(wǎng)絡(luò)—

網(wǎng)絡(luò)地址轉(zhuǎn)換NAT

（NetworkAddressTranslation）概述1、每臺(tái)接入Internet的計(jì)算機(jī)都應(yīng)有一個(gè)全球唯一的IP地址。問題：現(xiàn)實(shí)生活中IP地址有多少個(gè)？能滿足給接入到Internet上的每一臺(tái)主機(jī)分配一個(gè)IP地址嗎？知識(shí)回顧IP地址身份證號(hào)碼唯一的標(biāo)識(shí)一臺(tái)網(wǎng)絡(luò)中的合法主機(jī)唯一的標(biāo)識(shí)一個(gè)合法公民2、一個(gè)IP地址不能分配給多臺(tái)主機(jī)，否則，會(huì)導(dǎo)致地址沖突。？湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅地址共享的起因1969年ARPAnet，美國(guó)，4個(gè)節(jié)點(diǎn)1983年TCP/IP協(xié)議，Internet誕生，100個(gè)節(jié)點(diǎn)今天全球上網(wǎng)人數(shù)超過12億，每天都在增加！IP地址應(yīng)該設(shè)置多長(zhǎng)？32位

共有個(gè)地址=4,294,967,296問題：IP地址嚴(yán)重短缺！網(wǎng)絡(luò)規(guī)模與IP地址洛杉磯大學(xué)斯坦福研究所圣巴巴拉大學(xué)猶他州立大學(xué)2009.6中國(guó)IP地址：2.05億個(gè)網(wǎng)民人數(shù)：3.38億

湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅網(wǎng)絡(luò)地址共享技術(shù)：讓多臺(tái)主機(jī)共享一個(gè)IP地址。要求使用唯一地址相互矛盾主題：網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT)問題的解決NAT設(shè)備專用網(wǎng)絡(luò)(內(nèi)網(wǎng)，私網(wǎng))因特網(wǎng)公有地址（公網(wǎng)地址）/8/12/16公有地址

轉(zhuǎn)換OutsideInside湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅NAT的三種形式NAT池pooledNAT

2靜態(tài)NATStaticNAT1VS結(jié)構(gòu)拓?fù)涔ぷ髟韺?shí)際應(yīng)用端口NATPortNAT1VS湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅一、靜態(tài)NATNAT設(shè)備專用網(wǎng)絡(luò)PC1:因特網(wǎng)Ser1:1、PC1Ser1（發(fā)出請(qǐng)求）源端地址：192.168.10.1NAT要重寫源地址源端地址：目的地址：目的地址：源端地址：NAT要重寫目的地址源端地址：目的地址：目的地址：192.168.10.1—重寫IP地址2、Ser1PC1（回應(yīng)請(qǐng)求）工作原理：內(nèi)部網(wǎng)絡(luò)中的每個(gè)主機(jī)都被永久映射成外部網(wǎng)絡(luò)中的某個(gè)合法的地址

湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅地址轉(zhuǎn)換表方向域舊的值新的值出去IP源地址進(jìn)入IP目的地址192.168.10.1NAT——地址轉(zhuǎn)換表應(yīng)當(dāng)注意的兩個(gè)問題：1、地址轉(zhuǎn)換表可由系統(tǒng)管理員人工配置，或由NAT自動(dòng)完成。2、通過NAT路由器的通信必須由專用網(wǎng)內(nèi)的主機(jī)發(fā)起。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅NAT設(shè)備專用網(wǎng)絡(luò)(內(nèi)網(wǎng)，私網(wǎng))PC1:PC2:

PC3:

因特網(wǎng)Ser1:？方向域舊的值新的值出去IP源地址出去IP源地址進(jìn)入IP目的地址192.168.10.1192.168.10.2問題：靜態(tài)NAT不能實(shí)現(xiàn)多個(gè)私網(wǎng)IP同時(shí)共享一個(gè)公網(wǎng)IP上網(wǎng)，并不能解決IP地址不夠用的情況！靜態(tài)NAT轉(zhuǎn)換——存在的問題“一對(duì)一”湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅帶來(lái)的好處&應(yīng)用1、使用靜態(tài)NAT技術(shù)后，NAT設(shè)備如門衛(wèi)一般，把內(nèi)部網(wǎng)絡(luò)隱藏起來(lái)，具有保護(hù)內(nèi)部網(wǎng)絡(luò)的作用。2、NAT設(shè)備通常還帶有防火墻的功能，防火墻本身的安全策略能對(duì)內(nèi)部主機(jī)，包括服務(wù)器作一些基本的保護(hù)，避免受到攻擊。因特網(wǎng)圖一Web服務(wù)器:

NAT設(shè)備Web服務(wù)器:圖二因特網(wǎng)湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅二、NAT池(動(dòng)態(tài)NAT)1、能實(shí)現(xiàn)基本的地址轉(zhuǎn)換功能私有地址——公有地址2、能實(shí)現(xiàn)多個(gè)私網(wǎng)IP共享多個(gè)公網(wǎng)IP連接到Internet上PC1:PC2:

PC3:

PC100:00私有地址公有地址100個(gè)30個(gè)NAT設(shè)備專用網(wǎng)絡(luò)PC1:PC2:

PC3:

因特網(wǎng)Ser1:“多對(duì)多”湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅靜態(tài)與動(dòng)態(tài)NAT靜態(tài)NAT需要向外網(wǎng)絡(luò)提供信息服務(wù)的主機(jī)永久的一對(duì)一IP地址映射關(guān)系動(dòng)態(tài)NAT只訪問外網(wǎng)服務(wù)，不提供信息服務(wù)的主機(jī)內(nèi)部主機(jī)數(shù)可以大于全局IP地址數(shù)最多訪問外網(wǎng)主機(jī)數(shù)決定于全局IP地址數(shù)臨時(shí)的一對(duì)一IP地址映射關(guān)系NAT兩種形式比較湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅配置靜態(tài)NATRed-Giant(config)#ip

natinsidesourcestaticlocal-addressglobal-address定義內(nèi)部源地址靜態(tài)轉(zhuǎn)換關(guān)系Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natinside定義該接口連接內(nèi)部網(wǎng)絡(luò)Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natoutside定義接口連接外部網(wǎng)絡(luò)配置靜態(tài)NAT湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅下面的例子是將一臺(tái)內(nèi)網(wǎng)的WEB服務(wù)器

映射到全局IP地址上，外網(wǎng)用戶可通過訪問登陸內(nèi)網(wǎng)的WEB服務(wù)器。靜態(tài)NAT配置實(shí)例湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅（1）配置路由器R1、R2接口IP地址；（使用串口線必須配置時(shí)鐘）（2）配置R1、R2靜態(tài)路由；

R1(config)#iprouteR2(config)#iproute用showiproute查看路由表，已有靜態(tài)路由S項(xiàng)。步驟湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅（3）內(nèi)部源地址靜態(tài)NATR1(config)#interfacefastethernet0/0R1(config-if)#ip

natinside！定義F0/0為內(nèi)部網(wǎng)接口R1(config)#interfaceserial2/0R1(config-if)#ip

natoutside！定義S2/0為外部網(wǎng)接口R1(config)#ipnatinsidesourcestatic!定義內(nèi)部源地址靜態(tài)轉(zhuǎn)換關(guān)系湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅（1）在服務(wù)器上配置Web服務(wù)；新建一個(gè)index.html的靜態(tài)網(wǎng)頁(yè)（2）在遠(yuǎn)程客戶機(jī)測(cè)試訪問的網(wǎng)頁(yè)；使用訪問內(nèi)部web服務(wù)器地址;（3）在路由器R1上查看NAPT映射關(guān)系；R1r#showip

nattranslations在進(jìn)行登陸web前，先showip

nattranslations一下，等登陸web后，在執(zhí)行一次showip

nattranslations。對(duì)比前后不同之處。。測(cè)試湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅注意事項(xiàng)（1）不要把inside和outside應(yīng)用的接口弄錯(cuò)；（2）要加上能使數(shù)據(jù)包向外轉(zhuǎn)發(fā)的路由，比如默認(rèn)路由；（3）使用ip

natinsidesourcestatic和ip

natinsidesourcestatictcp8080同效。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅配置動(dòng)態(tài)NATRed-Giant(config)#ip

natpooladdress-poolstart-addressend-address{netmask

mask|prefix-lengthprefix-length}定義全局IP地址池Red-Giant(config)#access-listaccess-list-numberpermitip-addresswildcard定義訪問列表，只有匹配該列表的地址才轉(zhuǎn)換Red-Giant(config)#ip

natinsidesourcelistaccess-list-numberpooladdress-pool定義內(nèi)部源地址動(dòng)態(tài)轉(zhuǎn)換關(guān)系Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natinside定義該接口連接內(nèi)部網(wǎng)絡(luò)Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natoutside定義接口連接外部網(wǎng)絡(luò)配置動(dòng)態(tài)NAT湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅出口路由器R內(nèi)外/24/24/24申請(qǐng)到的可用公網(wǎng)地址：/24——0S4/0gi0/0“多對(duì)多”步驟一：定義外網(wǎng)和內(nèi)網(wǎng)R(config)#interfaceserial4/0R(config)#ip

natinside；進(jìn)入接口，定義內(nèi)網(wǎng)R(config)#interface

gi0/0R(config)#ip

natoutside；定義外網(wǎng)湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅出口路由器R內(nèi)外/24/24/24申請(qǐng)到的可用公網(wǎng)地址：/24——0S4/0gi0/0“多對(duì)多”步驟二：定義第一個(gè)“多”用ACL，一般是標(biāo)準(zhǔn)的ACL，定義內(nèi)部網(wǎng)中哪些網(wǎng)段可訪問公網(wǎng)R(config)#access-list1permit55(反掩碼)R(config)#access-list1permit55R(config)#access-list1permit55湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅出口路由器R內(nèi)外/24/24/24申請(qǐng)到的可用公網(wǎng)地址：/24——0S4/0gi0/0“多對(duì)多”步驟三：定義第二個(gè)“多”配置地址池，作用是定義可用的公網(wǎng)地址R(config)#ip

natpoolinternet0netmask

可見，內(nèi)網(wǎng)地址有3*254個(gè)，可用的公網(wǎng)地址有8個(gè)，這8個(gè)地址用于共享。Red-Giant(config)#ip

natpooladdress-poolstart-addressend-address{netmask

mask|prefix-lengthprefix-length}定義全局IP地址池的格式湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅出口路由器R內(nèi)外/24/24/24申請(qǐng)到的可用公網(wǎng)地址：/24——0S4/0gi0/0“多對(duì)多”R(config)#ip

natinsidesourcelist1poolinternet步驟三：將二個(gè)“多”關(guān)聯(lián)上注意：在上面的語(yǔ)句中，list1是內(nèi)，internet是外，是正向的轉(zhuǎn)換，用關(guān)鍵詞source；如果是反的，也就是用access-list定義外，地址池定義內(nèi)，這是反向的轉(zhuǎn)化，用關(guān)鍵詞destination。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅三、NAPT(端口NAT)靜態(tài)NAT/NAT池:IP地址NAPT:IP地址+端口號(hào)唯一的標(biāo)識(shí)一臺(tái)主機(jī)唯一的標(biāo)識(shí)一個(gè)連接1122PC1PC3：1500：1501：1501：25：21：44331：21PC2湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅NAT設(shè)備專用網(wǎng)絡(luò)(內(nèi)網(wǎng)，私網(wǎng))PC1:：30000PC2:：30000PC3:

因特網(wǎng)Ser1:方向域舊的值新的值出去源IP:源端口:30000:40001出去源IP:源端口:30000:40002進(jìn)入目的IP

:目的端口:40001192.168.10.1:30000NAPT轉(zhuǎn)換實(shí)例進(jìn)入目的IP

:目的端口:40002192.168.10.2:30000實(shí)現(xiàn)“多對(duì)一”湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅什么時(shí)候用NAPT缺乏全局IP地址甚至沒有專門申請(qǐng)的全局IP地址，只有一個(gè)連接ISP的全局IP地址內(nèi)部網(wǎng)要求上網(wǎng)的主機(jī)數(shù)很多提高內(nèi)網(wǎng)的安全性什么時(shí)候用NAPT湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅靜態(tài)與動(dòng)態(tài)NAPT靜態(tài)NAPT需要向外網(wǎng)絡(luò)提供信息服務(wù)的主機(jī)永久的一對(duì)一“IP地址+端口”映射關(guān)系動(dòng)態(tài)NAPT只訪問外網(wǎng)服務(wù)，不提供信息服務(wù)的主機(jī)臨時(shí)的一對(duì)一“IP地址＋端口”映射關(guān)系NAPT的兩種形式湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅配置動(dòng)態(tài)NAPTRed-Giant(config)#ip

natpooladdress-poolstart-addressend-address{netmask

mask|prefix-lengthprefix-length}定義全局IP地址池，對(duì)于NAPT，一般就定義一個(gè)IP地址

Red-Giant(config)#access-listaccess-list-numberpermitip-addresswildcard定義訪問列表，只有匹配該列表的地址才轉(zhuǎn)換Red-Giant(config)#ip

natinsidesourcelist

access-list-numberpooladdress-pool[interfaceinterface-typeinterface-number]}overload定義內(nèi)部源地址動(dòng)態(tài)轉(zhuǎn)換關(guān)系Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natinside定義該接口連接內(nèi)部網(wǎng)絡(luò)Red-Giant(config)#interfaceinterface-typeinterface-numberRed-Giant(config-if)#ip

natoutside定義接口連接外部網(wǎng)絡(luò)配置動(dòng)態(tài)NAPT湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅“多對(duì)一”步驟一：定義外網(wǎng)和內(nèi)網(wǎng)R(config)#interfaceserial4/0R(config)#ip

natinside，進(jìn)入接口，定義內(nèi)網(wǎng)R(config)#interface

gi0/0R(config)#ip

natoutside；定義外網(wǎng)出口路由器R內(nèi)外/24/24/24/24S4/0gi0/0湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅“多對(duì)一”步驟二：定義“多”用ACL，一般是標(biāo)準(zhǔn)的ACL，定義內(nèi)部網(wǎng)中哪些網(wǎng)段可訪問公網(wǎng)R(config)#access-list1permit55(反掩碼)R(config)#access-list1permit55R(config)#access-list1permit55出口路由器R內(nèi)外/24/24/24/24S4/0gi0/0湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅“多對(duì)一”步驟三：定義第“一”配置地址池，地址池中只有一個(gè)地址R(config)#ip

natpoolinternet

netmask

可見，內(nèi)網(wǎng)地址有3*254個(gè)，可用的公網(wǎng)地址有1個(gè)，這1個(gè)地址用于共享。出口路由器R內(nèi)外/24/24/24/24S4/0gi0/0湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅出口路由器R內(nèi)外/24/24/24/24S4/0gi0/0“多對(duì)一”R(config)#ip

natinsidesourcelist1poolinternetoverload步驟四：將“多”和“一”關(guān)聯(lián)上注意：多了一個(gè)關(guān)鍵詞，overload湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅總結(jié)公有地址共享私網(wǎng)IP-----公網(wǎng)IP映射關(guān)系應(yīng)用代價(jià)使用范圍靜態(tài)NAT不能一對(duì)一內(nèi)網(wǎng)服務(wù)器小普遍NAT池能多對(duì)多內(nèi)網(wǎng)工作站較大普遍端口NAT能多對(duì)一內(nèi)網(wǎng)工作站大十分廣泛不管是哪種形式的NAT技術(shù)，最基本的功能都是實(shí)現(xiàn)私有地址公有地址轉(zhuǎn)換湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅NAT的監(jiān)視和維護(hù)命令顯示命令showip

natstatistics

showip

nattranslations[verbose]清除狀態(tài)命令clearip

nattranslation*

clearip

nattranslationoutside

local-addressglobal-address

更多的命令用clearip

nat?NAT監(jiān)視與維護(hù)命令湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅應(yīng)當(dāng)指出，從層次的角度看，NAPT有一些特殊。1、普通路由器轉(zhuǎn)發(fā)IP數(shù)據(jù)報(bào)時(shí)，對(duì)于源IP地址和目的IP地址都是不改變的。但NAT路由器在轉(zhuǎn)發(fā)IP數(shù)據(jù)報(bào)時(shí)，一定要更換其IP地址（轉(zhuǎn)換源IP或目的IP）。2、普通路由器轉(zhuǎn)發(fā)IP數(shù)據(jù)報(bào)時(shí)，是工作在網(wǎng)絡(luò)層，但NATP路由器還要查看和轉(zhuǎn)換運(yùn)輸層的端口號(hào)，而這本來(lái)是屬于傳輸層的范疇，正是因?yàn)檫@樣，NATP曾經(jīng)收到過批評(píng)，認(rèn)為NATP沒有嚴(yán)格按照網(wǎng)絡(luò)體系結(jié)構(gòu)層次的關(guān)系。質(zhì)疑與缺陷湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅質(zhì)疑與缺陷3、NAT不能處理嵌入式IP地址或端口NAT設(shè)備不能翻譯那些嵌入到應(yīng)用數(shù)據(jù)部分的IP地址或端口信息，它只能翻譯那種正常位于IP首部中的地址信息和位于TCP/UDP首部中的端口信息。但如MSNMessenger的部分功能就使用了這種方式來(lái)傳遞IP和端口信息（在應(yīng)用數(shù)據(jù)部分），這樣就導(dǎo)致了NAT設(shè)備后的客戶端網(wǎng)絡(luò)應(yīng)用程序出現(xiàn)連接故障。要解決上面的嵌入式地址和端口問題，現(xiàn)在大多數(shù)都是通過特定的NAT編輯器來(lái)實(shí)現(xiàn)的，比如windows2000就提供了針對(duì)FTP、PPTP、ICMP和TCP上NETBIOS各自的NAT編輯器，按照這種方法，每個(gè)應(yīng)用協(xié)議都需要一個(gè)獨(dú)立的NAT編輯器，但應(yīng)用協(xié)議如此眾多，顯然這種方法不可能滿足所有需求，所以我們?nèi)孕枰昝赖慕鉀Q方案。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅4、不能從公網(wǎng)訪問內(nèi)部網(wǎng)絡(luò)服務(wù)網(wǎng)絡(luò)服務(wù)，比如WEB服務(wù)，對(duì)于這個(gè)問題，我們可以采用建立靜態(tài)映射的方法來(lái)解決。比如有一條靜態(tài)映射，是把85:80與8:80映射起的，當(dāng)公網(wǎng)用戶要訪問內(nèi)部WEB服務(wù)器時(shí)，它就首先連接到85:80，然后NAT設(shè)備把請(qǐng)求傳給8:80，8把響應(yīng)返回NAT設(shè)備，再由NAT設(shè)備傳給公網(wǎng)訪問用戶。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅質(zhì)疑與缺陷5、有一些應(yīng)用程序雖然是用A端口發(fā)送數(shù)據(jù)的，但卻要用B端口進(jìn)行接收，不過NAT進(jìn)行設(shè)備轉(zhuǎn)換時(shí)卻不知道這一點(diǎn)，它仍然建立一條針對(duì)A端口的映射，結(jié)果對(duì)方響應(yīng)的數(shù)據(jù)要傳給B端口時(shí)，NAT設(shè)備卻找不到相關(guān)映射條目而會(huì)丟棄數(shù)據(jù)包。6、如果NAT本身又位于另一個(gè)NAT之后，則也會(huì)出現(xiàn)一些問題，為了節(jié)約IP資源，現(xiàn)在很多的ISP在它們內(nèi)部架設(shè)NAT，然后再把服務(wù)提供給用戶。湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅7、一些P2P應(yīng)用在NAT后無(wú)法進(jìn)行

對(duì)于那些沒有中間服務(wù)器的純P2P應(yīng)用來(lái)說，如果大家都位于NAT設(shè)備之后，雙方是無(wú)法建立連接的。因?yàn)闆]有中間服務(wù)器的中轉(zhuǎn)，NAT設(shè)備后的P2P程序在NAT設(shè)備上是不會(huì)有映射條目的，也就是說對(duì)方是不能向你發(fā)起一個(gè)連接的。質(zhì)疑與缺陷湖北工業(yè)大學(xué)計(jì)算機(jī)學(xué)院李紅思考題NAT設(shè)備專用網(wǎng)絡(luò)1PC1:PC2: