nat的基本原理(介绍NAT的基本原理)

nat网络地址转换(NAT,Network Address Translation)属接入广域网(WAN)技术，是一种将私有（保留）地址转化为合法IP地址的转换技术，它被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。编辑本段网络地址转换（NAT）简介 NAT概述 　　NAT（Network Address Translation，网络地址转换）是将IP 数据报报头中的IP 地址转换为另一个IP 地址的过程。在实际应用中，NAT 主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公有IP 地址代表较多的私有IP 地址的方式，将有助于减缓可用IP 地址空间的枯竭。[1] 　　说明： 　　私有 IP 地址是指内部网络或主机的IP 地址，公有IP 地址是指在因特网上全球唯一的IP 地址。 　　RFC 1918 为私有网络预留出了三个IP 地址块，如下： 　　A 类：10.0.0.0～10.255.255.255 　　B 类：172.16.0.0～172.31.255.255 　　C 类：192.168.0.0～192.168.255.255 　　上述三个范围内的地址不会在因特网上被分配，因此可以不必向ISP 或注册中心申请而在公司或企业内部自由使用。 NAT技术的产生 　　虽然NAT可以借助于某些代理服务器来实现，但考虑到运算成本和网络性能，很多时候都是在路由器上来实现的。 　　随着接入Internet的计算机数量的不断猛增，IP地址资源也就愈加显得捉襟见肘。事实上，除了中国教育和科研计算机网（CERNET）外，一般用户几乎申请不到整段的C类IP地址。在其他ISP那里，即使是拥有几百台计算机的大型局域网用户，当他们申请IP地址时，所分配的地址也不过只有几个或十几个IP地址。显然，这样少的IP地址根本无法满足网络用户的需求，于是也就产生了NAT技术。 NAT技术的作用 　　借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。 　　NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文的数据部分进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据都分别嵌入IP地址的应用程序就不能正常工作。 NAT技术实现方式 　　NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和端口多路复用OverLoad。 　　静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。 　　动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。 　　端口多路复用（Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。 网络地址转换（NAT）的实现 　　在配置网络地址转换的过程之前，首先必须搞清楚内部接口和外部接口，以及在哪个外部接口上启用NAT。通常情况下，连接到用户内部网络的接口是NAT内部接口，而连接到外部网络（如Internet）的接口是NAT外部接口。 　　1).静态地址转换的实现 　　假设内部局域网使用的lP地址段为192.168.0.1~192.168.0.254，路由器局域网端（即默认网关）的IP地址为192.168.0.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.159.62.128~61.159.62.135，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.248可用于转换的IP地址范围为61.159.62.130~61.159.62.134。要求将内部网址192.168.0.2~192.168.0.6分别转换为合法IP地址61.159.62.130~61.159.62.134。 　　第一步，设置外部端口。 　　interface serial 0 　　ip address 61.159.62.129 255.255.255.248 　　ip nat outside 　　第二步，设置内部端口。 　　interface ethernet 0 　　ip address 192.168.0.1 255.255.255.0 　　ip nat inside 　　第三步，在内部本地与外部合法地址之间建立静态地址转换。 　　ip nat inside source static 内部本地地址内部合法地址。 　　示例： 　　ip nat inside source static 192.168.0.2 61.159.62.130 //将内部网络地址192.168.0.2转换为合法IP地址61.159.62.130 　　ip nat inside source static 192.168.0.3 61.159.62.131 //将内部网络地址192.168.0.3转换为合法IP地址61.159.62.131 　　ip nat inside source static 192.168.0.4 61.159.62.132 //将内部网络地址192.168.0.4转换为合法IP地址61.159.62.132 　　ip nat inside source static 192.168.0.5 61.159.62.133 //将内部网络地址192.168.0.5转换为合法IP地址61.159.62.133 　　ip nat inside source static 192.168.0.6 61.159.62.134 //将内部网络地址192.168.0.6转换为合法IP地址61.159.62.134 　　至此，静态地址转换配置完毕。 　　2).动态地址转换的实现 　　假设内部网络使用的IP地址段为172.16.100.1~172.16.100.254,路由器局域网端口（即默认网关）的IP地址为172.16.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.159.62.128~61.159.62.191，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.192，可用于转换的IP地址范围为61.159.62.130~61.159.62.190。要求将内部网址172.16.100.1~172.16.100.254动态转换为合法IP地址61.159.62.130~61.159.62.190。 　　第一步，设置外部端口。 　　设置外部端口命令的语法如下： 　　ip nat outside 　　示例： 　　interface serial 0 //进入串行端口serial 0 　　ip address 61.159.62.129 255.255.255.192//将其IP地址指定为61.159.62.129，子网掩码为255.255.255.192 　　ip nat outside //将串行口serial 0设置为外网端口 　　注意，可以定义多个外部端口。 　　第二步，设置内部端口。 　　设置内部接口命令的语法如下： 　　ip nat inside 　　示例： 　　interface ethernet 0 //进入以太网端口Ethernet 0 　　ip address 172.16.100.1 255.255.255.0 // 将其IP地址指定为172.16.100.1，子网掩码为255.255.255.0 　　ip nat inside //将Ethernet 0 设置为内网端口。 　　注意，可以定义多个内部端口。 　　第三步，定义合法IP地址池。 　　定义合法IP地址池命令的语法如下： 　　ip nat pool 地址池名称起始IP地址 终止IP地址子网掩码 　　其中，地址池名字可以任意设定。 　　示例： 　　ip nat pool chinanet 61.159.62.130 61.159.62.190 netmask 255.255.255.192 //指明地址缓冲池的名称为chinanet,IP地址范围为61.159.62.130~61.159.62.190，子网掩码为255.255.255.192。需要注意的是，即使掩码为255.255.255.0，也会由起始IP地址和终止IP地址对IP地址池进行限制。 　　或ip nat pool test 61.159.62.130 61.159.62.190 prefix-length 26 　　注意，如果有多个合法IP地址范围，可以分别添加。例如，如果还有一段合法IP地址范围为"211.82.216.1~211.82.216.254"，那么，可以再通过下述命令将其添加至缓冲池中。 　　ip nat pool cernet 211.82.216.1 211.82.216.254 netmask 255.255.255.0 　　或 　　ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24 　　第四步，定义内部网络中允许访问Internet的访问列表。 　　定义内部访问列表命令的语法如下： 　　access-list 标号 permit 源地址通配符（其中，标号为1~99之间的整数） 　　access-list 1 permit 172.16.100.0 0.0.0.255 //允许访问Internet的网段为172.16.100.0~172.16.100.255，反掩码为0.0.0.255。需要注意的是，在这里采用的是反掩码，而非子网掩码。反掩码与子网掩码的关系为：反掩码+子网掩码=255.255.255.255。例如，子网掩码为255.255.0.0，则反掩码为0.0.255.255；子网掩码为255.0.0.0，则反掩码为0.255.255.255；子网掩码为255.252.0.0，则反掩码为0.3.255.255；子网掩码为255.255.255.192，则反掩码为0.0.0.63。 　　另外，如果想将多个IP地址段转换为合法IP地址，可以添加多个访问列表。例如，当欲将172.16.98.0~172.16.98.255和172.16.99.0~172.16.99.255转换为合法IP地址时，应当添加下述命令： 　　access-list2 permit 172.16.98.0 0.0.0.255 　　access-list3 permit 172.16.99.0 0.0.0.255 　　第五步，实现网络地址转换。 　　在全局设置模式下，将第四步由access-list指定的内部本地地址列表与第三步指定的合法IP地址池进行地址转换。命令语法如下： 　　ip nat inside source list 访问列表标号 pool 内部合法地址池名字 　　示例： 　　ip nat inside source list 1 pool chinanet 　　如果有多个内部访问列表，可以一一添加，以实现网络地址转换，如 　　ip nat inside source list 2 pool chinanet 　　ip nat inside source list 3 pool chinanet 　　如果有多个地址池，也可以一一添加，以增加合法地址池范围，如 　　ip nat inside source list 1 pool cernet 　　ip nat inside source list 2 pool cernet 　　ip nat inside source list 3 pool cernet 　　至此，动态地址转换设置完毕。 　　3).端口复用动态地址转换（PAT) 　　内部网络使用的IP地址段为10.100.100.1~10.100.100.254，路由器局域网端口（即默认网关）的IP地址为10.100.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为202.99.160.0~202.99.160.3，路由器广域网中的IP地址为202.99.160.1，子网掩码为255.255.255.252，可用于转换的IP地址为202.99.160.2。要求将内部网址10.100.100.1~10.100.100.254 转换为合法IP地址202.99.160.2。 　　第一步，设置外部端口。 　　interface serial 0 　　ip address 202.99.160.1 255.255.255.252 　　ip nat outside 　　第二步，设置内部端口。 　　interface ethernet 0 　　ip address 10.100.100.1 255.255.255.0 　　ip nat inside 　　第三步，定义合法IP地址池。 　　ip nat pool onlyone 202.99.160.2 202.99.160.2 netmask 255.255.255.252 　　// 指明地址缓冲池的名称为onlyone,IP地址范围为202.99.160.2，子网掩码为255.255.255.252。由于本例只有一个IP地址可用，所以，起始IP地址与终止IP地址均为202.99.160.2。如果有多个IP地址，则应当分别键入起止的IP地址。 　　第四步，定义内部访问列。 　　access-list 1 permit 10.100.100.0 0.0.0.255 　　允许访问Internetr的网段为10.100.100.0~10.100.100.255，子网掩码为255.255.255.0。需要注意的是，在这里子网掩码的顺序跟平常所写的顺序相反，即0.0.0.255。 　　第五步，设置复用动态地址转换。 　　在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。命令语法如下： 　　ip nat inside source list访问列表号pool内部合法地址池名字overload 　　示例： 　　ip nat inside source list1 pool onlyone overload //以端口复用方式，将访问列表1中的私有IP地址转换为onlyone IP地址池中定义的合法IP地址。 　　注意：overload是复用动态地址转换的关键词。 　　至此，端口复用动态地址转换完成。 　　还可以这样写： 　　ip nat inside source list 1 interface serial 0 overload

NAT（Network Address Translation，网络地址转换）是1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但现在又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。 这种方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球IP地址，才能和因特网连接。 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。
网络地址转换，一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。
NAT（Network Address Translation，网络地址转换）是1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但现在又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。这种方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球IP地址，才能和因特网连接。另外，这种通过使用少量的公有IP 地址代表较多的私有IP 地址的方式，将有助于减缓可用的IP地址空间的枯竭。在RFC 2663中有对NAT的说明。中文名网络地址转换外文名NAT（Network Address Translation）可用于专用网和因特网通信简称nat功能NAT不仅能解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。1.宽带分享：这是 NAT 主机的最大功能。2.安全防护：NAT 之内的 PC 联机到 Internet 上面时，他所显示的 IP 是 NAT 主机的公共 IP，所以 Client 端的 PC 当然就具有一定程度的安全了，外界在进行 portscan（端口扫描） 的时候，就侦测不到源Client 端的 PC 。实现方式NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。端口多路复用（Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。ALG（Application Level Gateway），即应用程序级网关技术：传统的NAT技术只对IP层和传输层头部进行转换处理，但是一些应用层协议，在协议数据报文中包含了地址信息。为了使得这些应用也能透明地完成NAT转换，NAT使用一种称作ALG的技术，它能对这些应用程序在通信时所包含的地址信息也进行相应的NAT转换。例如：对于FTP协议的PORT/PASV命令、DNS协议的 "A" 和 "PTR" queries命令和部分ICMP消息类型等都需要相应的ALG来支持。如果协议数据报文中不包含地址信息，则很容易利用传统的NAT技术来完成透明的地址转换功能，通常我们使用的如下应用就可以直接利用传统的NAT技术：HTTP、TELNET、FINGER、NTP、NFS、ARCHIE、RLOGIN、RSH、RCP等。工作原理借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文的数据部分进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据部分嵌入IP地址的应用程序就不能正常工作。Nat-工作流程1①如右图这个 client（终端） 的 gateway （网关）设定为 NAT 主机，所以当要连上 Internet 的时候，该封包就会被送到 NAT 主机，这个时候的封包 Header 之 source IP（源IP） 为 192.168.1.100 ；②而透过这个 NAT 主机，它会将 client 的对外联机封包的 source IP ( 192.168.1.100 ) 伪装成 ppp0 ( 假设为拨接情况 )这个接口所具有的公共 IP ，因为是公共 IP 了，所以这个封包就可以连上 Internet 了，同时 NAT 主机并且会记忆这个联机的封包是由哪一个 ( 192.168.1.100 ) client 端传送来的；Nat工作流程2③由 Internet 传送回来的封包，当然由 NAT主机来接收了，这个时候， NAT 主机会去查询原本记录的路由信息，并将目标 IP 由 ppp0 上面的公共 IP 改回原来的 192.168.1.100 ；④最后则由 NAT 主机将该封包传送给原先发送封包的 Client

动态NAT的工作原理就是这样的。 路由器要实现在两个不同网段间进行数据路由，必须有对应的路由表，否则不能路由。当由内网向公网发起连接的时候，路由表并不存在，NAT机制会将内网的数据包IP源地址更换成一个公网地址，同时建立一个路由表，以便回应数据转发到对应的内网IP地址。当由公网向内网发起连接的时候，路由表也不存在，此时NAT机制不会生效，路由器无法建立路由表，不知道数据该送到什么内网IP地址，所以这时需要在路由器上提前做好地址映射或DMZ，这个地址映射相当于提前准备了一个静态路由表，当再收到这样的数据包时就能将数据包转发到对应的内网IP地址上。 NAT的工作原理就是将多个内网地址映射到一个或几个外网地址上，从内网发起请求是多地址映射到单一地址，反过来确实单一地址映射到多个内网地址，所以反过来就不能自动建立路由表了。
有这些命令Ip natinsidesourcestatic内部本地地址内部合法地址intf0/0路由器接口ipnatinside进口intf1/0路由器接口ipnatoutside出口功能1：一个企业申请的合法InternetIP地址很少，而内部网络用户很多。可以通过NAT功能实现多个用户同时公用一个合法IP与外部Internet进行通信。2：一个企业不想让外部网络用户知道自己的网络内部结构，可以通过NAT将内部网络与外部Internet隔离开，则外部用户根本不知道通过NAT设置的内部IP地址。 NAT设置可以分为静态地址转换、动态地址转换、复用动态地址转换，希望能帮到你。
NAT就是网络地址转换的意思，就是把私有IP地址转换为公用IP地址以解决IP地址不够用的问题；在宽带路由器中默认是开启NAT功能的，因此内网IP地址都是使用192.168.1.0或192.168.0.0这样的私有IP地址，经路由器的WAN接口转换为公网IP地址。

IP地址耗尽促成了CIDR的开发，但CIDR开发的主要目的是为了有效的使用现有的internet地址。而同时根据RFC 1631(IPNetworkAddressTranslator)开发的NAT却可以在多重的internet子网中使用相同的IP，用来减少注册IP地址的使用。NAT路由技术使得一个私有网络可以通过internet注册IP连接到外部世界，位于inside网络和outside网络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。内部网络的主机不可能同时于外部网络通信，所以只有一部分内部地址需要翻译。NAT的翻译可以采取静态翻译(statictranslation)和动态翻译(dynamictranslation)两种。静态翻译将内部地址和外部地址一对一对应。当NAT需要确认哪个地址需要翻译，翻译时采用哪个地址pool时，就使用了动态翻译。采用portmultiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同一个外部地址，这就是PAT(portaddresstranslator)。当影射一个外部IP到内部地址时，可以利用TCP的loaddistribution技术。使用这个特征时，内部主机基于round-robin机制，将外部进来的新连接定向到不同的主机上去。注意:load distributiong只有在影射外部地址到内部的时候才有效。

端口nat转换原理：NAT用来将内网地址和端口号转换成合法的公网地址和端口号，建立一个会话，与公网主机进行通信。NAT外部的主机无法主动跟位于NAT内部的主机通信，NAT内部2主机想要通信，必须主动和公网的一个IP通信，路由器负责建立一个映射关系，从而实现数据的转发。端口nat的功能NAT不仅能解决了IP地址不足的问题，而且还能够有效地避免来自网络外部的入侵，隐藏并保护网络内部的计算机，宽带分享:这是NAT主机的最大功能，安全防护:NAT之内的PC联机到Internet上面时，他所显示的IP是NAT主机的公网IP，所以client端（客户端）的PC就具有一定程度的安全了。外界在进行portscan(端口扫描)的时候，就侦测不到源Client端的PC，节省公有合法IP地址、处理地址重叠、增强灵活性、安全性。NAT实现私网地址和公网地址的一对一转换，有多少个私网地址就需要配置多少个公网地址。静态NAT不能节约公网地址，但可以起到隐藏内部网络的作用。