一个刚进入网络世界的小白对NAT地址转换的理解

Posted 2020-11-08

NAT的实现方式有哪些
动态NAT、静态NAT、NAT的端口复用

静态NAT是指将内部网络的私有ip转换为公有ip地址，ip地址不是一对一的，是一沉不变的，某个私有ip地

址只能转换成某个共有ip地址，那我们就借助于静态转换，可以实现外部网络中某些特定的设备（如服务器）的访问

动态NAT值得是将内部网络的私有ip转换为共有ip地址时，ip地址时不确定的而是随机形成的，所有被授权访问上的internet的私有ip地址可随机装换位任何指定合法ip地址，也就是说只要指定那些内部ip地址可以进行装换以及用那些合法地址作为外部地址时，就可以进行动态装换，可以使用多个合法的外部地址集当ISP提供合法的ip地址略少与网络内部计算机数量时可以采用动态转换。

端口多路复用，是指改变外出数据包的源端口并进行端口转换，即端口地址转换，采用端口多路复用方式，内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP

地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

NAT的技术背景
要真正了解NAT就必须先了解现在IP地址的适用情况，私有 IP 地址是指内部网络或主机的IP 地址，公有IP 地址是指在因特网上全球唯一的IP 地址。RFC 1918 为私有网络预留出了三个IP 地址块，如下：
A 类：10.0.0.0—10.255.255.255
B 类：172.16.0.0—172.31.255.255
C 类：192.168.0.0—192.168.255.255
上述三个范围内的地址不会在因特网上被分配，因此可以不必向ISP 或注册中心申请而在公司或企业内部自由使用。
随着接入Internet的计算机数量的不断猛增，IP地址资源也就愈加显得捉襟见肘。事实上，除了中国教育和科研计算机网（CERNET）外，一般用户几乎申请不到整段的C类IP地址。在其他ISP那里，即使是拥有几百台计算机的大型局域网用户，当他们申请IP地址时，所分配的地址也不过只有几个或十几个IP地址。显然，这样少的IP地址根本无法满足网络用户的需求，于是也就产生了NAT技术。
虽然NAT可以借助于某些代理服务器来实现，但考虑到运算成本和网络性能，很多时候都是在路由器上来实现的。
NAPT（Network Address Port Translation），即网络端口地址转换，可将多个内部地址映射为一个合法公网地址，但以不同的协议端口号与不同的内部地址相对应，也就是<内部地址+内部端口>与<外部地址+外
部端口>之间的转换。NAPT普遍用于接入设备中，它可以将中小型的网络隐藏在一个合法的IP地址后面。
NAPT也被称为“多对一”的NAT，或者叫PAT（Port Address Translations，端口地址转换）、地址超载（address overloading）。
NAPT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。NAPT算得上是一种较流行的NAT变体，通过转换TCP或UDP协议端口号以及地址来提供并发性。除了一对源和目的IP地址以外，这个表还包括一对源和目的协议端口号，以及NAT盒使用的一个协议端口号。
NAPT的主要优势在于，能够使用一个全球有效IP地址获得通用性。主要缺点在于其通信仅限于TCP或UDP。当所有通信都采用TCP或UDP，NAPT允许一台内部计算机访问多台外部计算机，并允许多台内部主机访问同一台外部计算机，相互之间不会发生冲突。
NAT穿透方法
目前常用的针对UDP的NAT 穿透（NAT Traversal）方法主要有：STUN、TURN、ICE、uPnP等。其中ICE方式由于其结合了STUN和TURN的特点，所以使用最为广泛。针对TCP的NAT穿透技术目前仍为难点。实用的技术仍然不多。

NAT工作原理
借助于NAT，私有（保留）地址的"内部"网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址（甚至是1个）即可实现私有地址网络内所有计算机与Internet的通信需求
NAT将自动修改IP报文的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文的数据部分进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据部分嵌入IP地址的应用程序就不能正常工作。

NAT配置实例
在配置网络地址转换的过程之前，首先必须搞清楚内部接口和外部接口，以及在哪个外部接口上启用NAT。

通常情况下，连接到用户内部网络的接口是NAT内部接口，而连接到外部网络（如Internet）的接口是NAT

外部接口。
1.静态地址转换的实现
假设内部局域网使用的lP地址段为192.168.0.1~192.168.0.254，路由器局域网端（即默认网关）的IP地址
为192.168.0.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为61.159.62.128~61.159.62.135，路由器在广域网中的IP地址为61.159.62.129，子网掩码为255.255.255.248可用于转换的IP地址范围为61.159.62.130~61.159.62.134。要求将内部网址192.168.0.2~192.168.0.6分别转换为合法IP地址
61.159.62.130~61.159.62.134。
第一步，设置外部端口。
interface serial 0
ip address 61.159.62.129 255.255.255.248
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 192.168.0.1 255.255.255.0
ip nat inside
第三步，在内部本地与外部合法地址之间建立静态地址转换。
ip nat inside source static 内部本地地址 外部合法地址。
示例：
ip nat inside source static 192.168.0.2 61.159.62.130 //将内部网络地址192.168.0.2转换为合法IP

地址61.159.62.130
ip nat inside source static 192.168.0.3 61.159.62.131 //将内部网络地址192.168.0.3转换为合法IP

地址61.159.62.131
ip nat inside source static 192.168.0.4 61.159.62.132 //将内部网络地址192.168.0.4转换为合法IP

地址61.159.62.132
ip nat inside source static 192.168.0.5 61.159.62.133 //将内部网络地址192.168.0.5转换为合法IP

地址61.159.62.133
ip nat inside source static 192.168.0.6 61.159.62.134 //将内部网络地址192.168.0.6转换为合法IP

地址61.159.62.134

2.动态地址转换的实现
假设内部网络使用的IP地址段为172.16.100.1~172.16.100.254,路由器局域网端口（即默认网关）的IP地

址为172.16.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为

61.159.62.128~61.159.62.191，路由器在广域网中的IP地址为61.159.62.129，子网掩码为

255.255.255.192，可用于转换的IP地址范围为61.159.62.130~61.159.62.190。要求将内部网址

172.16.100.2~172.16.100.254动态转换为合法IP地址61.159.62.130~61.159.62.190。
第一步，设置外部端口。
设置外部端口命令的语法如下：
ip nat outside
示例：
interface serial 0 //进入串行端口serial 0
ip address 61.159.62.129 255.255.255.192//将其IP地址指定为61.159.62.129，子网掩码为255.255.255.192
ip nat outside //将串行口serial 0设置为外网端口
注意，可以定义多个外部端口。
第二步，设置内部端口。
设置内部接口命令的语法如下：
ip nat inside
示例：
interface ethernet 0 //进入以太网端口Ethernet 0
ip address 172.16.100.1 255.255.255.0 // 将其IP地址指定为172.16.100.1，子网掩码为255.255.255.0
ip nat inside //将Ethernet 0 设置为内网端口。
注意，可以定义多个内部端口。
第三步，定义合法IP地址池。
定义合法IP地址池命令的语法如下：
ip nat pool 地址池名称起始IP地址 终止IP地址子网掩码
其中，地址池名字可以任意设定。
示例：
ip nat pool chinanet 61.159.62.130 61.159.62.190 netmask 255.255.255.192 //指明地址缓冲池的名称为chinanet,IP地址范围为61.159.62.130~61.159.62.190，子网掩码为255.255.255.192。需要注意的是，即使掩码为255.255.255.0，也会由起始IP地址和终止IP地址对IP地址池进行限制。或ip nat pool test 61.159.62.130 61.159.62.190 prefix-length 26注意，如果有多个合法IP地址范围，可以分别添加。例如，如果还有一段合法IP地址范围为"211.82.216.1~211.82.216.254"，那么，可以再通过下述命令将其添加至缓冲池中。ip nat pool cernet 211.82.216.1 211.82.216.254 netmask 255.255.255.0或ip nat pool test 211.82.216.1 211.82.216.254 prefix-length 24
第四步，定义内部网络中允许访问Internet的访问列表。
定义内部访问列表命令的语法如下：
access-list 标号 permit 源地址通配符（其中，标号为1~99之间的整数）
access-list 1 permit 172.16.100.0 0.0.0.255 //允许访问Internet的网段为

172.16.100.0~172.16.100.255，反掩码为0.0.0.255。需要注意的是，在这里采用的是反掩码，而非子网掩码。反掩码与子网掩码的关系为：反掩码+子网掩码=255.255.255.255。例如，子网掩码为255.255.0.0，则反掩码为0.0.255.255；子网掩码为255.0.0.0，则反掩码为0.255.255.255；子网掩码为255.252.0.0，则反掩码为0.3.255.255；子网掩码为255.255.255.192，则反掩码为0.0.0.63。
另外，如果想将多个IP地址段转换为合法IP地址，可以添加多个访问列表。例如，当欲将172.16.98.0~172.16.98.255和172.16.99.0~172.16.99.255转换为合法IP地址时，应当添加下述命令：
access-list2 permit 172.16.98.0 0.0.0.255
access-list3 permit 172.16.99.0 0.0.0.255
第五步，实现网络地址转换。
在全局设置模式下，将第四步由access-list指定的内部本地地址列表与第三步指定的合法IP地址池进行地址转换。命令语法如下：
ip nat inside source list 访问列表标号 pool 内部合法地址池名字
示例：
ip nat inside source list 1 pool chinanet
如果有多个内部访问列表，可以一一添加，以实现网络地址转换，如
ip nat inside source list 2 pool chinanet
ip nat inside source list 3 pool chinanet
如果有多个地址池，也可以一一添加，以增加合法地址池范围，如
ip nat inside source list 1 pool cernet
ip nat inside source list 2 pool cernet
ip nat inside source list 3 pool cernet

端口复用动态地址转换（PAT)
内部网络使用的IP地址段为10.100.100.1~10.100.100.254，路由器局域网端口（即默认网关）的IP地址为10.100.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为202.99.160.0~202.99.160.3，路由器广域网中的IP地址为202.99.160.1，子网掩码为255.255.255.252，可用于转换的IP地址为202.99.160.2。要求将内部网址10.100.100.1~10.100.100.254 转换为合法IP地址202.99.160.2。
第一步，设置外部端口。
interface serial 0
ip address 202.99.160.1 255.255.255.252
ip nat outside
第二步，设置内部端口。
interface ethernet 0
ip address 10.100.100.1 255.255.255.0
ip nat inside
第三步，定义合法IP地址池。
ip nat pool onlyone 202.99.160.2 202.99.160.2 netmask 255.255.255.252
// 指明地址缓冲池的名称为onlyone,IP地址范围为202.99.160.2，子网掩码为255.255.255.252。由于本

例只有一个IP地址可用，所以，起始IP地址与终止IP地址均为202.99.160.2。如果有多个IP地址，则应当分别键入起止的IP地址。
第四步，定义内部访问列表。
access-list 1 permit 10.100.100.0 0.0.0.255
允许访问Internetr的网段为10.100.100.0~10.100.100.255，子网掩码为255.255.255.0。需要注意的是，在这里子网掩码的顺序跟平常所写的顺序相反，即0.0.0.255。
第五步，设置复用动态地址转换。
在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立复用动态地址转换。命令语法如下：
ip nat inside source list访问列表号pool内部合法地址池名字overload
示例：
ip nat inside source list1 pool onlyone overload //以端口复用方式，将访问列表1中的私有IP地址转换为onlyone IP地址池中定义的合法IP地址。
注意：overload是复用动态地址转换的关键词。
至此，端口复用动态地址转换完成。
还可以这样写：
ip nat inside source list 1 interface serial 0 overload
全部采用端口复用地址转换
当ISP分配的IP地址数量很少，网络又没有其他特殊需求，即无需为Internet提供网络服务时，可采用端口复用地址转换方式，使网络内的计算机采用同一IP地址访问Internet，在节约IP地址资源的同时，又可有

效保护网络内部的计算机。
网络环境为：
局域网采用10Mb/s光纤，以城域网方式接入Internet。路由器选用拥有2个10/100 Mb/s自适应端口的Cisco 2611。内部网络使用的IP地址段为192.168.100.1~192.168.100.254，局域网端口Ethernet 0的IP地址为
192.168.100.1，子网掩码为255.255.255.0。网络分配的合法IP地址范围为
202.99.160.128~202.99.160.131，连接ISP的端口Ethernet 1的IP地址为202.99.160.129，子网掩码为255.255.255.252。可用于转换的IP地址为202.99.160.130。要求网络内部的所有计算机均可访问Internet

案例分析：
既然只有一个可用的合法IP地址，同时处于局域网的服务器又只为局域网提供服务，而不允许Internet中的主机对其访问，因此完全可以采用端口复用地址转换方式实现NAT，使得网络内的所有计算机均可独立访问Internet。
配置清单：
interface fastethernet0/0
ip address 192.168.100.1 255.255.0.0 //定义本地端口IP地址
duplex auto
speed auto
ip nat inside // 定义为本地端口
!
interface fastethernet0/1
ip address 202.99.160.129 255.255.255.252
duplex auto
speed auto
ip nat outside
!
ip nat pool onlyone 202.99.160.130 202.99.160.130 netmask 255.255.255.252 //定义合法IP地址池，名称为onlyoneaccess-list 1 permit 192.168.100.0 0.0.0.255 //定义本地访问列表ip nat inside source list1 pool onlyone overload //采用端口复用动态地址转换