网络地址转换

Posted 2021-02-17

NAT概念

NAT通过将内部网络的私网IP地址转换成全球唯一的公网IP地址，使内部网络可以连接到互联网等外部网络上，广泛应用于各种类型的互联网接入方式和各种类型的网络中。NAT不仅解决了IP地址不足的问题，而且能够隐瞒内部网络的细节，避免来自网络外部的***，可起到一定的安全作用。
借助于NAT，私有保留地址的内部网络通过路由器发送数据包时，私有地址被转换成公网合法的IP地址，这样一个局域网只需要少量地址（甚至一个）即可实现私有地址网络中的所有计算与互联网的通信需求。
NAT将自动修改IP包头中的源IP地址或目的IP地址，IP地址的校验则在NAT处理过程中自动完成。有一些应用程序将源IP地址嵌入IP数据包的数据部分中，所以还需要同时对数据部分进行修改，以匹配IP包头中已经修改过的源IP地址，否则，在数据包的数据部分嵌入了IP地址的应用程序不能正常工作。令人遗憾的是，Cisco的NAT虽然可以处理很多应用，但还是有一些应用无法支持

NAT的实现方式
静态转换
动态转换
PAT基于端口的地址转换
静态转换将内部网络的私网IP地址转换位公用合法的IP地址，IP地址的对应关系是一对一的，而且是不变的，即某个私网IP地址只转换位某个固定的合法的外部IP地址，借助于静态转换，能实现外部网络对内部网络中某些特定设备的访问
动态转换是指将内部网络的私有地址转换为公网地址时，IP地址的对应关系时不确定的，随机的，所有被授权访问互联网的私有地址可随机转换为任何指定的合法的外部IP地址
PAT是指改变外出数据包的源IP地址和源端口，并进行端口转换，即端口地址转换采用PAT方式。

NAT的工作过程

内部局部IP地址：在内部网络中分配给主机的私有IP地址，该地址是从RFC1918（私有互联网空间地址分配）所定义的私有地址空间中分配的，或随机挑选的。
内部全局IP地址：一个合法的IP地址（由NIC或网络服务提供商分配），他对外代表一个或多个内部局部IP地址，该地址通常是从全球统一可寻址的地址空间中分配的，一般由ISP提供。
外部全局IP地址：由其所有者给外部网络上的主机分配的IP地址，该地址通常也是从全球统一可寻址的地址空间中分配的。
外部局部IP地址：外部主机表现在内部网络的IP地址，这一地址是从内部可寻址的地址空间中分配的，很可能是从如RFC1918中所定义的保留地址空间中分配的。
简单转换条目：将一个IP地址映射到另一个IP地址的转换条目
扩展转换条目：映射IP地址和端口到另一对IP地址和端口的条目

NAT实现方法的工作过程
使用NAT转换内部局部IP地址，就是在内部局部IP地址和内部全局IP地址之间建立一个映射关系，在下面的例子中，内部局域网网段的地址10.1.1.0/24经过NAT，转换成202.168.2.0/24的内部全局地址


NAT的优势
NAT允许企业内部网络使用私有地址，并通过设置合法的地址集，使内部网络可以与互联网进行通信，从而达到节省合法注册地址的目的
NAT可以减少规划地址时发生的地址重叠情况
NAT增强了内部网络与公网连接时的灵活性
NAT支持支持地址重叠，将私网地址转换为公网地址，一般需要对原地址重新设置地址，所需的工作量与需要设置新地址的主机数有关，如果使用NAT技术，就可以不对原私网内部的地址进行改动，同时，还可以对外部网络支持新的公用地址方案

NAT缺点
NAT会使延迟增大
NAT增加了配置和排错的复杂性
NAT也可能会使某些需要使用内嵌IP地址的应用不能正常工作，因为它隐藏了端到端的IP地址

静态NAT转换结构示意图

动态NAT转换结构示意图

PAT转换结构示意图