nat的基本原理(介绍NAT的基本原理)

原理： a，内部地址翻译（Translation inside local addresses)：这是比较通用的一种方法，将内部IP一对一的翻译成外部地址。在内部主机连接到外部网络时，当第一个数据包到达NAT路由器时，router检查它的NAT表，因为是NAT是静态配置的，故可以查询出来（simply entry），然后router将数据包的内部局部IP（源地址）更换成内部全局地址，再转发出去。外部主机接受到数据包用接受到的内部全局地址来响应，NAT接受到外部回来的数据包，再根据NAT表把地址翻译成内部局部IP，转发过去。b，内部全局地址复用（overloading inside glogal addresses）使用地址和端口pair将多个内部地址影射到比较少的外部地址。这也是所谓的PAT。和内部地址翻译一样，NAT router同样也负责查表和翻译内部IP地址，唯一的区别就是由于使用了overloading，router将复用同样的内部全局IP地址，并存储足够的信息以区分它和其他地址，这样查询出来的是extended entry。NAT router和外部主机的通讯采用翻译过的内部全局地址，故同一般的通信没有差别，router到内部主机通讯时，同样要查NAT表。c，TCP负载重分配（TCP load distributing）和以上两种操作不同，这是NAT由外到内的翻译，所以那种以为WEB server一定要放置到NAT外部的说法是错误的。工作原理：外部主机向虚拟主机（定义为内部全局地址）通讯，NAT router接受外部主机的请求并依据NAT表建立与内部主机的连接，把内部全局地址（目的地址）翻译成内部局部地址，并转发数据包到内部主机，内部主机接受包并作出响应。NAT router再使用内部局部地址和端口查询数据表，根据查询到的外部地址和端口做出响应。此时，如果同一主机再做第二个连接，NAT router将根据NAT表将建立与另一虚拟主机的连接，并转发数据。d，处理重叠网络。这种方法主要用于两个intranet的互连，同样给我们处理两个重叠网络提供了方法。它的实现要求DNS server的支持（用于区别两个不同的主机）。1，主机A要求向主机C建立连接，先象DNS server做地址查询。2，NAT router截获DNS的响应，如果地址有重叠，将翻译返回的地址。它将创建一个simply entry把重叠的外部全局地址（目的地址）翻译成外部局部地址。3，路由器转发DNS响应到主机A，它已经把主机C的地址（外部全局地址）翻译成外部局部地址。4，当路由器接受到主机C的数据包时，它将建立内部局部、全局，外部全局、局部地址间的转换，主机A将由内部局部地址（源地址）翻译成内部全局地址，主机C将由外部全局地址（目的地址）翻译成外部局部地址。 5，主机C接受数据包并继续通讯。
NAT的工作原理:外部主机向虚拟主机（定义为内部全局地址）通讯，NAT router接受外部主机的请求并依据NAT表建立与内部主机的连接，把内部全局地址（目的地址）翻译成内部局部地址，并转发数据包到内部主机，内部主机接受包并作出响应。3，路由器转发DNS响应到主机A，它已经把主机C的地址（外部全局地址）翻译成外部局部地址。4，当路由器接受到主机C的数据包时，它将建立内部局部、全局，外部全局、局部地址间的转换，主机A将由内部局部地址（源地址）翻译成内部全局地址，主机C将由外部全局地址（目的地址）翻译成外部局部地址。

IP地址耗尽促成了CIDR的开发，但CIDR开发的主要目的是为了有效的使用现有的internet地址。而同时根据RFC 1631(IPNetworkAddressTranslator)开发的NAT却可以在多重的internet子网中使用相同的IP，用来减少注册IP地址的使用。NAT路由技术使得一个私有网络可以通过internet注册IP连接到外部世界，位于inside网络和outside网络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。内部网络的主机不可能同时于外部网络通信，所以只有一部分内部地址需要翻译。NAT的翻译可以采取静态翻译(statictranslation)和动态翻译(dynamictranslation)两种。静态翻译将内部地址和外部地址一对一对应。当NAT需要确认哪个地址需要翻译，翻译时采用哪个地址pool时，就使用了动态翻译。采用portmultiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同一个外部地址，这就是PAT(portaddresstranslator)。当影射一个外部IP到内部地址时，可以利用TCP的loaddistribution技术。使用这个特征时，内部主机基于round-robin机制，将外部进来的新连接定向到不同的主机上去。注意:load distributiong只有在影射外部地址到内部的时候才有效。

NAT概述：网络地址转换（Network Address Translation, NAT）通过将内部网络的的私有IP 地址翻译成唯一的公网IP地址，使内部的网络可以连接到互联网等外部网络上NAT的优点§ 节省公有合法IP地址§ 处理地址交叉§ 增强灵活性§ 安全性（隐藏内部网络的细节，避免来自外部网络的攻击）NAT的缺点§ 延迟增大§ 配置和维护的复杂性§ 不支持某些应用NAT的类型：静态转换（Static Translation）动态装换（Dynamic Translation）端口多路复用（Port Address Translation ）NAT的基本原理：改变IP包头，使目的地址、源地址或两个地址在包头中被不同地址替换NAT的术语：内部局部IP地址（inside local address）：在内部网络中分配给主机的私有ip地址，也就是说，在内部的所有私有地址内部全局IP地址（inside global IP address ）：一个合法的IP地址，它对外代表一个或者多个内部局部IP地址，也就是说，在内部的私有地址通向外部的一个网关，即分配给内部私有地址的公有地址，能代替内部的私有地址外部全局IP地址（outside global IP address）：由其所有者给外部网络上的主机分配的IP地址，也就是说，在外部的所有私有地址外部局部IP地址(outside local IP address)：外部主机表现在内部网络的IP地址，也就是说，在外部的主机分配的一个能代替所有私有的地址NAT的个作原理：以下图来讲原理：NAT工作原理拓扑图首先，我们要清楚，在局域网内部的私有地址是不能访问外网的，必须通过转换成公有地址才可以访问Internet，以上所图，是两个公司之间的Inter网络互相交流，下面来谈谈它的工作原理192.168.1.0网络的PC1想要访问192.168.10.0网络的User11.PC1向RA（网关）发送请求，告诉自己的私有IP地址和MAC地址，并且要求自己要到达192.168.10.0网络的User1主机2.RA收到请求后，把PC1的源IP地址进行转换，变成内部全局地址，即公有地址202.16.58.1，并且为PC1制定一个随机产生的端口号（来识别某台主机），发送到Inter网3.Inter网络收到了内部全局IP地址的请求，之间进行路由选择，被RB接收，RB通过查看RA发送过来的内部全局IP地址和端口号等信息，直接发送给192.168.10.0网络的网关4.网关路由器RB收到了信息，根据对方发过来的目标主机信息，把数据传输给192.168.10.0网络的User1主机5.根据ICMP协议，user1主机需要回应，对数据进行相应的处理，把数据封装后发送给网关6.网关把user1的私有IP地址转换成外部局部IP地址，即公有地址202.16.58.2，通过这个公有地址，转发到路由器RA7.RA收到数据包，查看自己缓存里的对应的主机和端口，并对192.168.1.0网络的PC1进行转发思考

网络地址转换有多种形式和若干种工作方式：nbsp;nbsp;nbsp;nbsp;*nbsp;静态网络地址转换——以一对一的方式将一个未注册的nbsp;IPnbsp;地址映射到一个已注册的nbsp;IPnbsp;地址。在需要能够从网络外部访问某个设备时尤其有用。在静态网络地址转换中，IP地址为192.168.32.10的计算机将始终转换为213.18.123.110。nbsp;nbsp;nbsp;nbsp;*nbsp;动态网络地址转换——将一个未注册的IP地址映射到一组已注册的IP地址中的某个已注册的IP地址。动态网络地址转换中，IP地址为192.168.32.10的计算机将转换为213.18.123.100到213.18.123.150范围内的第一个可用的地址。nbsp;nbsp;nbsp;nbsp;*nbsp;重载——动态网络地址转换的一种形式，通过使用不同的端口，将多个未注册的IP地址映射到一个已注册的IP地址。这也称为端口地址转换nbsp;（PAT）、单地址网络地址转换或端口级复用网络地址转换。在重载中，专用网络中的每台计算机都被转换为同一个IP地址nbsp;（213.18.123.100），但分配的端口号不同。nbsp;nbsp;nbsp;nbsp;*nbsp;重叠——如果您在内部网络上使用的IP地址同时也是在其他网络上正在使用的已注册的IP地址，那么路由器必须维护这些地址的查找表，以便能够拦截它们，并将其替换成唯一的已注册IP地址。值得注意的是，网络地址转换路由器必须将“内部”地址转换为唯一的已注册地址，同时还必须将“外部”已注册的地址转换为对于专用网络而言独一无二的地址。要实现这一点可以通过静态网络地址转换，或者通过使用域名解析服务然后实施动态网络地址转换。内部IP范围（237.16.32.xx）同时也是其他网络使用的注册范围。因此，路由器要转换这些地址，以避免与其他网络产生冲突。当信息发送到内部网络时，路由器还会将已注册的全局IP地址重新转换为未注册的本地IP地址。内部网络通常是局域网（LAN），常被称作端域。端域是在其内部使用IP地址的局域网。端域中的大部分网络通信都是本地通信，因此它不会传播到内部网络之外。端域中可包括已注册的IP地址和未注册的IP地址。当然，所有使用未注册的IP地址的计算机必须使用网络地址转换才能与其他网络进行通信。网络地址转换可以用不同方法来配置。在下面的示例中，网络地址转换路由器被配置为将位于专用网络（内部网络）上的未注册的（本地内部）IP地址转换为已注册的IP地址。只要内部的某个设备（其地址是未注册的IP地址）需要与公用网络（外部网络）进行通信，就会发生上面的转换。nbsp;nbsp;nbsp;nbsp;*nbsp;互联网服务提供商为您的公司分配一个IP地址范围。范围内的地址是唯一的已注册的IP地址，被称为内部全局地址。未注册的专用IP地址被分成两组，其中一组（外部本地地址）比较小，由网络地址转换路由器来使用，另外一组（内部本地地址）就大得多了，在端域上使用。外部本地地址用于转换公用网络上的设备的唯一的IP地址（称为外部全局地址）。根据IP地址是位于专用网络上还是位于公用网络上，以及通信是传入还是传出，IP地址的名称会不一样。根据IP地址是位于专用网络（端域）上还是位于公用网络（互联网）上，以及通信是传入还是传出，IP地址的名称会不一样。nbsp;nbsp;nbsp;nbsp;*nbsp;端域上的大多数计算机使用内部本地地址来互相通信。nbsp;nbsp;nbsp;nbsp;*nbsp;端域上有些计算机要与外部网络进行大量的通信。这些计算机有内部全局地址，意味着它们不需要进行转换。nbsp;nbsp;nbsp;nbsp;*nbsp;如果端域上拥有内部本地地址的计算机要与外部网络进行通信，那么数据包将转到其中一个网络地址转换路由器。nbsp;nbsp;nbsp;nbsp;*nbsp;网络地址转换路由器会检查路由表，查看是否有目标地址的对应项。如果有，网络地址转换路由器将转换该数据包，并在地址转换表中为它创建对应项。如果路由表中没有目标地址，那么将丢弃该数据包。nbsp;nbsp;nbsp;nbsp;*nbsp;路由器使用内部全局地址将数据包继续发送到它的目标地址。nbsp;nbsp;nbsp;nbsp;*nbsp;公用网络上的计算机向专用网络发送数据包。数据包上的源地址是一个外部全局地址。目标地址是一个内部全局地址。nbsp;nbsp;nbsp;nbsp;*nbsp;网络地址转换路由器查看地址转换表，发现表中有目标地址，该地址被映射到端域上的一台计算机。nbsp;nbsp;nbsp;nbsp;*nbsp;网络地址转换路由器将数据包的内部全局地址转换成内部本地地址，然后将其发送到目标计算机。网络地址转换重载利用了TCP/IP协议栈的复用功能，该功能允许计算机使用不同的TCP或UDP查看更多答案>>

端口nat转换原理：NAT用来将内网地址和端口号转换成合法的公网地址和端口号，建立一个会话，与公网主机进行通信。NAT外部的主机无法主动跟位于NAT内部的主机通信，NAT内部2主机想要通信，必须主动和公网的一个IP通信，路由器负责建立一个映射关系，从而实现数据的转发。端口nat的功能NAT不仅能解决了IP地址不足的问题，而且还能够有效地避免来自网络外部的入侵，隐藏并保护网络内部的计算机，宽带分享:这是NAT主机的最大功能，安全防护:NAT之内的PC联机到Internet上面时，他所显示的IP是NAT主机的公网IP，所以client端（客户端）的PC就具有一定程度的安全了。外界在进行portscan(端口扫描)的时候，就侦测不到源Client端的PC，节省公有合法IP地址、处理地址重叠、增强灵活性、安全性。NAT实现私网地址和公网地址的一对一转换，有多少个私网地址就需要配置多少个公网地址。静态NAT不能节约公网地址，但可以起到隐藏内部网络的作用。