什么是NAT
本文檔的Copyleft歸yfydz所有，使用GPL發(fā)布，可以自由拷貝，轉(zhuǎn)載，轉(zhuǎn)載時請保持文檔的完整性，嚴禁用于任何商業(yè)用途。
msn:
yfydz_no1@hotmail.com來源：
http://yfydz.cublog.cnNAT（Network Address Translation）是在IPv4地址日漸枯竭的情況下出現(xiàn)的一種技術(shù)，在RFC3022中定義，可將整個組織的內(nèi)部IP都映射到一個合法IP上來進行Internet的訪問，也可將外部對某IP的訪問映射到內(nèi)部的服務(wù)器上。與NAT相關(guān)的術(shù)語有IP偽裝（IP Masquerade）、端口映射（Port Mapping）、端口地址轉(zhuǎn)換（Port Address Translation）、透明代理（Transparent Proxy）等，它們都是NAT的某種表現(xiàn)形式。目前NAT功能基本上屬于防火墻、路由器的標(biāo)配功能之一。
NAT分為源NAT和目的NAT兩種，源NAT是指轉(zhuǎn)換前源IP地址和轉(zhuǎn)換后源IP地址不同，數(shù)據(jù)進入防火墻后，防火墻將其源地址進行了轉(zhuǎn)換后再將其發(fā)出，使外部看不到數(shù)據(jù)包原來的源地址，對于TCP/UDP協(xié)議的數(shù)據(jù)包，防火墻不僅修改地址，還通過修改源端口來區(qū)分不同內(nèi)部地址的連接，因此NAT環(huán)境下一個合法IP最多可以有65535條TCP連接；目的NAT是指轉(zhuǎn)換前目的IP地址和轉(zhuǎn)換后目的IP地址不同（對于TCP/UDP協(xié)議，也可以改變端口號），數(shù)據(jù)進入防火墻后，防火墻將其目的地址進行了轉(zhuǎn)換后再將其發(fā)出，使看不到數(shù)據(jù)包原來的目的地址。
在進行NAT時，如果是一個地址到一個地址的轉(zhuǎn)換，稱為一對一模式；如果是一個網(wǎng)段地址到一個地址的轉(zhuǎn)換，稱為多對一的轉(zhuǎn)換；如果是一個網(wǎng)段地址到一個網(wǎng)段地址的轉(zhuǎn)換，稱為多對多的轉(zhuǎn)換。上面說的IP偽裝就屬于源NAT，而端口映射和透明代理等屬于目的NAT。
NAT從另一個角度也可分為靜態(tài)和動態(tài)兩種，靜態(tài)方式是明確指定了轉(zhuǎn)換前后的地址和端口的情況，可以有一對一、一對多、多對一等方式，如果實際地址發(fā)生變化，NAT規(guī)則必須相應(yīng)改變；而動態(tài)方式也就是IP偽裝方式，是一種多到一的源NAT轉(zhuǎn)換模式，一般只需指定轉(zhuǎn)換前的地址，轉(zhuǎn)換后地址則是防火墻的IP地址，此地址是可以動態(tài)改變的，而NAT規(guī)則可以不變。靜態(tài)NAT一般用在防火墻IP地址都是固定的情況，而動態(tài)NAT用于防火墻IP地址不固定的場合，如ADSL撥號。動態(tài)情況下也可以進行目的NAT，但NAT規(guī)則是在獲取了地址后才起作用。
一般來說，源NAT多用于從內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的訪問，內(nèi)部網(wǎng)絡(luò)地址可以是保留IP地址；目的NAT多用于外部網(wǎng)絡(luò)到內(nèi)部服務(wù)器的訪問，內(nèi)部服務(wù)器可使用保留IP地址。當(dāng)使用透明代理模式時，由內(nèi)到外的訪問實際上是一種目的NAT，是將訪問的目的IP和目的端口轉(zhuǎn)換為代理服務(wù)器的IP和代理端口。
使用目的NAT功能時可實現(xiàn)負載均衡（Load Balance，LB）功能，假設(shè)防火墻外網(wǎng)卡上有一個合法IP，內(nèi)部有多個服務(wù)器同時提供服務(wù)，當(dāng)將訪問防火墻外網(wǎng)卡IP的訪問請求轉(zhuǎn)換為這一組內(nèi)部服務(wù)器的IP地址時，訪問請求就可以在這一組服務(wù)器進行均衡。
一般情況下的NAT或者修改源地址部分，或者修改目的地址部分，兩者不同時修改。但在某些特殊情況下，有同時需要修改源和目的的需求，一種情況是同網(wǎng)段VPN的實現(xiàn)，同一個包在本地網(wǎng)關(guān)處修改源地址，在對方網(wǎng)關(guān)處修改目的地址；第二種情況是服務(wù)器和內(nèi)部機器在相同的內(nèi)部地址網(wǎng)段，但要求用服務(wù)器的外部合法地址訪問服務(wù)器，即要將內(nèi)部機器對防火墻外部地址的訪問轉(zhuǎn)為防火墻內(nèi)部地址對服務(wù)器內(nèi)部地址的訪問，這種情況需要在防火墻上同時修改數(shù)據(jù)包的源和目的地址部分。(這種方式就是典型的內(nèi)部主機通過外網(wǎng)wan端口訪問內(nèi)部服務(wù)器(內(nèi)部服務(wù)器作為虛擬服務(wù)器對外提供服務(wù))，需要做源地址和目的地址的轉(zhuǎn)換，一是當(dāng)數(shù)據(jù)到達網(wǎng)關(guān)時，將源地址轉(zhuǎn)化為網(wǎng)關(guān)地址，然后將目的地址(外網(wǎng)地址)轉(zhuǎn)化為內(nèi)部服務(wù)器的地址和端口，服務(wù)響應(yīng)后，向目的地址為網(wǎng)關(guān)的做出響應(yīng)，網(wǎng)關(guān)再將目的地址轉(zhuǎn)換為請求機器的地址，源地址轉(zhuǎn)化為外網(wǎng)端口的地址，再將該響應(yīng)轉(zhuǎn)發(fā)給轉(zhuǎn)換后的目的地址，也即是當(dāng)初請求的機器地址，該種方式稱之為路由回流，實現(xiàn)從內(nèi)部主機通過本地wan端口外網(wǎng)地址方位內(nèi)部服務(wù)器，一般的路由器都不支持路由回流，造成只能從外部發(fā)起對公網(wǎng)地址的訪問，而從內(nèi)部主機則發(fā)起失敗)
本站僅提供存儲服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點擊舉報。
