nat基本原理(介绍NAT的基本原理)

IP地址耗尽促成了CIDR的开发，但CIDR开发的主要目的是为了有效的使用现有的internet地址。而同时根据RFC 1631(IPNetworkAddressTranslator)开发的NAT却可以在多重的internet子网中使用相同的IP，用来减少注册IP地址的使用。NAT路由技术使得一个私有网络可以通过internet注册IP连接到外部世界，位于inside网络和outside网络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。内部网络的主机不可能同时于外部网络通信，所以只有一部分内部地址需要翻译。NAT的翻译可以采取静态翻译(statictranslation)和动态翻译(dynamictranslation)两种。静态翻译将内部地址和外部地址一对一对应。当NAT需要确认哪个地址需要翻译，翻译时采用哪个地址pool时，就使用了动态翻译。采用portmultiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同一个外部地址，这就是PAT(portaddresstranslator)。当影射一个外部IP到内部地址时，可以利用TCP的loaddistribution技术。使用这个特征时，内部主机基于round-robin机制，将外部进来的新连接定向到不同的主机上去。注意:load distributiong只有在影射外部地址到内部的时候才有效。

NAT（Network Address Translation，网络地址转换）是1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但现在又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。 这种方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球IP地址，才能和因特网连接。 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。
网络地址转换，一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。
NAT（Network Address Translation，网络地址转换）是1994年提出的。当在专用网内部的一些主机本来已经分配到了本地IP地址（即仅在本专用网内使用的专用地址），但现在又想和因特网上的主机通信（并不需要加密）时，可使用NAT方法。这种方法需要在专用网连接到因特网的路由器上安装NAT软件。装有NAT软件的路由器叫做NAT路由器，它至少有一个有效的外部全球IP地址。这样，所有使用本地地址的主机在和外界通信时，都要在NAT路由器上将其本地地址转换成全球IP地址，才能和因特网连接。另外，这种通过使用少量的公有IP 地址代表较多的私有IP 地址的方式，将有助于减缓可用的IP地址空间的枯竭。在RFC 2663中有对NAT的说明。中文名网络地址转换外文名NAT（Network Address Translation）可用于专用网和因特网通信简称nat功能NAT不仅能解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。1.宽带分享：这是 NAT 主机的最大功能。2.安全防护：NAT 之内的 PC 联机到 Internet 上面时，他所显示的 IP 是 NAT 主机的公共 IP，所以 Client 端的 PC 当然就具有一定程度的安全了，外界在进行 portscan（端口扫描） 的时候，就侦测不到源Client 端的 PC 。实现方式NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。端口多路复用（Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。ALG（Application Level Gateway），即应用程序级网关技术：传统的NAT技术只对IP层和传输层头部进行转换处理，但是一些应用层协议，在协议数据报文中包含了地址信息。为了使得这些应用也能透明地完成NAT转换，NAT使用一种称作ALG的技术，它能对这些应用程序在通信时所包含的地址信息也进行相应的NAT转换。例如：对于FTP协议的PORT/PASV命令、DNS协议的 "A" 和 "PTR" queries命令和部分ICMP消息类型等都需要相应的ALG来支持。如果协议数据报文中不包含地址信息，则很容易利用传统的NAT技术来完成透明的地址转换功能，通常我们使用的如下应用就可以直接利用传统的NAT技术：HTTP、TELNET、FINGER、NTP、NFS、ARCHIE、RLOGIN、RSH、RCP等。工作原理借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至是1个）即可实现私有地址网络内所有计算机与Internet的通信需求。NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文的数据部分进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据部分嵌入IP地址的应用程序就不能正常工作。Nat-工作流程1①如右图这个 client（终端） 的 gateway （网关）设定为 NAT 主机，所以当要连上 Internet 的时候，该封包就会被送到 NAT 主机，这个时候的封包 Header 之 source IP（源IP） 为 192.168.1.100 ；②而透过这个 NAT 主机，它会将 client 的对外联机封包的 source IP ( 192.168.1.100 ) 伪装成 ppp0 ( 假设为拨接情况 )这个接口所具有的公共 IP ，因为是公共 IP 了，所以这个封包就可以连上 Internet 了，同时 NAT 主机并且会记忆这个联机的封包是由哪一个 ( 192.168.1.100 ) client 端传送来的；Nat工作流程2③由 Internet 传送回来的封包，当然由 NAT主机来接收了，这个时候， NAT 主机会去查询原本记录的路由信息，并将目标 IP 由 ppp0 上面的公共 IP 改回原来的 192.168.1.100 ；④最后则由 NAT 主机将该封包传送给原先发送封包的 Client

由于网络的飞速发展和网络应用的极速增多，致使IPv4可用地址空间逐渐枯竭。尽管IPv6可以在根本上解决地址枯竭问题，但IPv4发展到IPv6还需要一个过渡，而这便产生了NAT。IP地址分为公网IP与私网IP。一般情况下，在互联网中，公网IP可直接访问，私网IP无法直接访问。而NAT则是将私网IP地址转换为公网IP地址（将IP报文头部的私网IP地址改为可以提供访问的公网IP地址），从而实现用户上网功能或服务器在互联网上提供服务。NAT还可以使得一个公网IP代表多个不同的内网IP，这样便节省了IP地址资源。NAT分为静态转换、动态转换、端口转换公司（有固定公网IP地址）上网访问某网站简易过程实现SNAT和DNAT都需要开启内核数据转发功能基于nat表的target，适用于固定的公网IPSNAT选项：语法：范例：nat表的target，适用于端口映射，即可重定向到本机，也可以支持重定向至不同主机的不同端口，但不支持多目标，即不支持负载均衡功能DNAT选项：DNAT语法：范例：CentOS 7、8CentOS 6iptables-restore选项用规则文件保存各规则，开机时自动载入此规则文件中的规则在/etc/rc.d/rc.local文件添加范例: CentOS 7，8 使用 iptables-servicesLVS由前端的负载均衡器(Load Balancer，LB)和后端的真实服务器(Real Server，RS)群组成。RS间可通过局域网或广域网连接。LVS的这种结构对用户是透明的，用户只能看见一台作为LB的虚拟服务器(Virtual Server)，而看不到提供服务的RS群。当用户的请求发往虚拟服务器，LB根据设定的包转发策略和负载均衡调度算法将用户请求转发给RS。RS再将用户请求结果返回给用户。1.当客户端的请求到达负载均衡器的内核空间时，首先会到达PREROUTING链。2.当内核发现请求数据包的目的地址是本机时，将数据包送往INPUT链。3.LVS由用户空间的ipvsadm和内核空间的IPVS组成，ipvsadm用来定义规则，IPVS利用ipvsadm定义的规则工作，IPVS工作在INPUT链上,当数据包到达INPUT链时，首先会被IPVS检查，如果数据包里面的目的地址及端口没有在规则里面，那么这条数据包将被放行至用户空间。4.如果数据包里面的目的地址及端口在规则里面，那么这条数据报文将被修改目的地址为事先定义好的后端服务器，并送往POSTROUTING链。5.最后经由POSTROUTING链发往后端服务器。注意：在NAT模式中，Real Server的网关必须指向LVS，否则报文无法送达客户端。注意：需要设置lo接口的VIP不能响应本地网络内的arp请求。①.客户端将请求发往前端的负载均衡器，请求报文源地址是CIP，目标地址为VIP。②.负载均衡器收到报文后，发现请求的是在规则里面存在的地址，那么它将在客户端请求报文的首部再封装一层IP报文,将源地址改为DIP，目标地址改为RIP,并将此包发送给RS。③.RS收到请求报文后，会首先拆开第一层封装,然后发现里面还有一层IP首部的目标地址是自己lo接口上的VIP，所以会处理次请求报文，并将响应报文通过lo接口送给eth0网卡直接发送给客户端。注意：需要设置lo接口的VIP不能在共网上出现。LVS的调度算法分为静态与动态两类。

所谓的NAT其实就是网络地址转换，其功能是将企业内部自行定义的非法IP地址转换为Internet公网上可识别的合法IP地址。下面是我为大家整理的关于nat路由器的工作原理，一起来看看吧!nat路由器的工作原理NAT(Network Address Translation)网络地址转换，其功能是将企业内部自行定义的非法IP地址转换为Internet公网上可识别的合法IP地址。NAT技术能较好解决现阶段IPV4地址短缺的问题。NAT设备维护一个状态表，用来把非法的IP地址映射到合法的IP地址上去。我们以DCR-1700路由器为例。 运行如图：显示应为如图：静态NAT内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。将局域网中的192.168.1.5永久映射为全局合法IP211.168.79.75。此功能可应用到内部网的WWW发布、Ftp Server及Mail Server。NAT池NAT池指用户向ISP申请了一组合法IP，在路由器中，将这一组IP定义成NAT池，通过动态分配的办法，共享很少的几个外部合法IP地址。如果NAT池中动态分配的外部IP地址全部被占用后，后续的NAT翻译申请将会失败。用地址超载功能，通过端口号区分不同的连接，可解决这个问题。如果局域网中有20台PC，但向ISP只申请到211.1.1.1和211.1.1.2两个合法IP，通过如上配置，可实现所有的PC同时访问Internet。推荐用户使用地址超载功能。PAT，即端口地址转换。通过PAT技术，用户只需向ISP申请一个合法IP，就可以满足所有的用户访问Internet。PAT可以支持同时连接64500个TCP/IP、UDP/IP，但实际可以支持的工作站个数会少一些。案例nat123映射如何添加：在主面板/端口映射列表/添加端口映射。添加编辑映射时，选择需要映射的应用类型。如发布大众网站，选择80网站。

原理：a，内部地址翻译（Translation inside local addresses)：这是比较通用的一种方法，将内部IP一对一的翻译成外部地址。在内部主机连接到外部网络时，当第一个数据包到达NAT路由器时，router检查它的NAT表，因为是NAT是静态配置的，故可以查询出来（simply entry），然后router将数据包的内部局部IP（源地址）更换成内部全局地址，再转发出去。外部主机接受到数据包用接受到的内部全局地址来响应，NAT接受到外部回来的数据包，再根据NAT表把地址翻译成内部局部IP，转发过去。b，内部全局地址复用（overloading inside glogal addresses）使用地址和端口pair将多个内部地址影射到比较少的外部地址。这也是所谓的PAT。和内部地址翻译一样，NAT router同样也负责查表和翻译内部IP地址，唯一的区别就是由于使用了overloading，router将复用同样的内部全局IP地址，并存储足够的信息以区分它和其他地址，这样查询出来的是extended entry。NAT router和外部主机的通讯采用翻译过的内部全局地址，故同一般的通信没有差别，router到内部主机通讯时，同样要查NAT表。c，TCP负载重分配（TCP load distributing）和以上两种操作不同，这是NAT由外到内的翻译，所以那种以为WEB server一定要放置到NAT外部的说法是错误的。工作原理：外部主机向虚拟主机（定义为内部全局地址）通讯，NAT router接受外部主机的请求并依据NAT表建立与内部主机的连接，把内部全局地址（目的地址）翻译成内部局部地址，并转发数据包到内部主机，内部主机接受包并作出响应。NAT router再使用内部局部地址和端口查询数据表，根据查询到的外部地址和端口做出响应。此时，如果同一主机再做第二个连接，NAT router将根据NAT表将建立与另一虚拟主机的连接，并转发数据。d，处理重叠网络。这种方法主要用于两个intranet的互连，同样给我们处理两个重叠网络提供了方法。它的实现要求DNS server的支持（用于区别两个不同的主机）。1，主机A要求向主机C建立连接，先象DNS server做地址查询。2，NAT router截获DNS的响应，如果地址有重叠，将翻译返回的地址。它将创建一个simply entry把重叠的外部全局地址（目的地址）翻译成外部局部地址。3，路由器转发DNS响应到主机A，它已经把主机C的地址（外部全局地址）翻译成外部局部地址。4，当路由器接受到主机C的数据包时，它将建立内部局部、全局，外部全局、局部地址间的转换，主机A将由内部局部地址（源地址）翻译成内部全局地址，主机C将由外部全局地址（目的地址）翻译成外部局部地址。5，主机C接受数据包并继续通讯。