NAT(地址翻譯)的相關(guān)概念及其工作原理

2019-11-04 20:29:33

字體：大中小

供稿：網(wǎng)友

　　ip地址耗盡促成了CIDR的開發(fā)，但CIDR開發(fā)的主要目的是為了有效的使用現(xiàn)有的internet地址。而同時(shí)根據(jù)RFC 1631（IP Network Address Translator）開發(fā)的NAT卻可以在多重的internet子網(wǎng)中使用相同的IP，用來減少注冊IP地址的使用。
　　
　　NAT技術(shù)使得一個(gè)私有網(wǎng)絡(luò)可以通過internet注冊IP連接到外部世界，位于inside網(wǎng)絡(luò)和outside網(wǎng)絡(luò)中的NAT路由器在發(fā)送數(shù)據(jù)包之前，負(fù)責(zé)把內(nèi)部IP翻譯成外部合法地址。內(nèi)部網(wǎng)絡(luò)的主機(jī)不可能同時(shí)于外部網(wǎng)絡(luò)通信，所以只有一部分內(nèi)部地址需要翻譯。
　　
　　NAT的翻譯可以采取靜態(tài)翻譯（static translation）和動(dòng)態(tài)翻譯（dynamic translation）兩種。靜態(tài)翻譯將內(nèi)部地址和外部地址一對一對應(yīng)。當(dāng)NAT需要確認(rèn)哪個(gè)地址需要翻譯，翻譯時(shí)采用哪個(gè)地址pool時(shí)，就使用了動(dòng)態(tài)翻譯。采用portmultiplexing技術(shù)，或改變外出數(shù)據(jù)的源port技術(shù)可以將多個(gè)內(nèi)部IP地址影射到同一個(gè)外部地址，這就是PAT（port address translator）。
　　
　　當(dāng)影射一個(gè)外部IP到內(nèi)部地址時(shí)，可以利用TCP的load distribution技術(shù)。使用這個(gè)特征時(shí)，內(nèi)部主機(jī)基于round-robin機(jī)制，將外部進(jìn)來的新連接定向到不同的主機(jī)上去。注重：load distributiong只有在影射外部地址到內(nèi)部的時(shí)候才有效。
　　
　　NAT使用的幾種情況：
　　
　　a，連接到internet，但卻沒有足夠的合法地址分配給內(nèi)部主機(jī)。
　　
　　b，更改到一個(gè)需要重新分配地址的ISP。
　　
　　c，有相同的IP地址的兩個(gè)internat合并。
　　
　　d，想支持負(fù)載均衡（主機(jī)）。
　　
　　采用NAT后，一個(gè)最主要的改變就是你失去了端對端IP的traceability，也就是說，從此你不能再經(jīng)過NAT使用ping和traceroute，其次就是曾經(jīng)的一些IP對IP的程序不再可以正常運(yùn)行，潛在的不易被觀察到的缺點(diǎn)就是增加了網(wǎng)絡(luò)延時(shí)。
　　
　　NAT可以支持大部分IP協(xié)議，但有幾個(gè)協(xié)議需要注重，首先tFTP，rlogin,rsh,rcp和ipmulticast都被NAT支持，其次就是bootp，snmp和路由表更新全部給拒絕了。
　　
　　NAT的幾個(gè)相關(guān)概念：
　　
　　Inside Local IP address: 指定于內(nèi)部網(wǎng)絡(luò)的主機(jī)地址，全局唯一，但為私有地址。
　　
　　Inside Global IP address: 代表一個(gè)或更多內(nèi)部IP到外部世界的合法IP。
　　
　　Outside Global IP address: 外部網(wǎng)絡(luò)主機(jī)的合法IP。
　　
　　Outside Local IP address: 外部網(wǎng)絡(luò)的主機(jī)地址，看起來是內(nèi)部網(wǎng)絡(luò)的，私有地址。
　　
　　Simple Translation Entry: 影射IP到另一個(gè)地址的Entry。
　　
　　Extended Translation Entry:影射IP地址和端口到另一個(gè)pair的Entry。
　　
　　采用NAT，可以實(shí)現(xiàn)以下幾個(gè)功能：
　　
　　a，Translation inside local addresses
　　
　　b，Overloading inside global addresses
　　
　　c，TCP load distribution
　　
　　d，Handing overlapping networks
　　
　　下面我們一一敘述它們的工作原理。
　　
　　a，內(nèi)部地址翻譯（Translation inside local addresses)：
　　
　　這是比較通用的一種方法，將內(nèi)部IP一對一的翻譯成外部地址。
　　
　　在內(nèi)部主機(jī)連接到外部網(wǎng)絡(luò)時(shí)，當(dāng)?shù)谝粋€(gè)數(shù)據(jù)包到達(dá)NAT路由器時(shí)，router檢查它的NAT表，因?yàn)槭荖AT是靜態(tài)配置的，故可以查詢出來（simply entry），然后router將數(shù)據(jù)包的內(nèi)部局部IP（源地址）更換成內(nèi)部全局地址，再轉(zhuǎn)發(fā)出去。外部主機(jī)接受到數(shù)據(jù)包用接受到的內(nèi)部全局地址來響應(yīng)，NAT接受到外部回來的數(shù)據(jù)包，再根據(jù)NAT表把地址翻譯成內(nèi)部局部IP，轉(zhuǎn)發(fā)過去。
　　
　　b，內(nèi)部全局地址復(fù)用（overloading inside glogal addresses）
　　
　　使用地址和端口pair將多個(gè)內(nèi)部地址影射到比較少的外部地址。這也是所謂的PAT。和內(nèi)部地址翻譯一樣，NAT router同樣也負(fù)責(zé)查表和翻譯內(nèi)部IP地址，唯一的區(qū)別就是由于使用了overloading，router將復(fù)用同樣的內(nèi)部全局IP地址，并存儲(chǔ)足夠的信息以區(qū)分它和其他地址，這樣查詢出來的是extended entry。NAT router和外部主機(jī)的通訊采用翻譯過的內(nèi)部全局地址，故同一般的通信沒有差別，router到內(nèi)部主機(jī)通訊時(shí)，同樣要查NAT表。
　　
　　c，TCP負(fù)載重分配（TCP load distributing）和以上兩種操作不同，這是NAT由外到內(nèi)的翻譯，所以那種以為WEB server一定要放置到
　　
　　NAT外部的說法是錯(cuò)誤的。
　　
　　工作原理：外部主機(jī)向虛擬主機(jī)（定義為內(nèi)部全局地址）通訊，NAT router接受外部主機(jī)的請求并依據(jù)NAT表建立與內(nèi)部主機(jī)的連接，把內(nèi)部全局地址（目的地址）翻譯成內(nèi)部局部地址，并轉(zhuǎn)發(fā)數(shù)據(jù)包到內(nèi)部主機(jī)，內(nèi)部主機(jī)接受包并作出響應(yīng)。NAT router再使用內(nèi)部局部地址和端口查詢數(shù)據(jù)表，根據(jù)查詢到的外部地址和端口做出響應(yīng)。
　　
　　此時(shí)，假如同一主機(jī)再做第二個(gè)連接，NAT router將根據(jù)NAT表將建立與另一虛擬主機(jī)的連接，并轉(zhuǎn)發(fā)數(shù)據(jù)。
　　
　　d，處理重疊網(wǎng)絡(luò)。
　　
　　這種方法主要用于兩個(gè)intranet的互連，同樣給我們處理兩個(gè)重疊網(wǎng)絡(luò)提供了方法。它的實(shí)現(xiàn)要求DNS server的支持（用于區(qū)別兩個(gè)不同的主機(jī)）。
　　
　　1，主機(jī)A要求向主機(jī)C建立連接，先象DNS server做地址查詢。
　　
　　2，NAT router截獲DNS的響應(yīng)，假如地址有重疊，將翻譯返回的地址。它將創(chuàng)建一個(gè)simply entry把重疊的外部全局地址（目的地址）翻譯成外部局部地址。
　　
　　3，路由器轉(zhuǎn)發(fā)DNS響應(yīng)到主機(jī)A，它已經(jīng)把主機(jī)C的地址（外部全局地址）翻譯成外部局部地址。
　　
　　4，當(dāng)路由器接受到主機(jī)C的數(shù)據(jù)包時(shí)，它將建立內(nèi)部局部、全局，外部全局、局部地址間的轉(zhuǎn)換，主機(jī)A將由內(nèi)部局部地址（源地址）翻譯成內(nèi)部全局地址，主機(jī)C將由外部全局地址（目的地址）翻譯成外部局部地址。
　　
　　5，主機(jī)C接受數(shù)據(jù)包并繼續(xù)通訊。
　　
　　NAT的具體配置和校驗(yàn)不再敘述
　　
　　測試題目：
　　
　　1，請問NAT實(shí)現(xiàn)四種功能時(shí)查詢的NAT表格是否相同，假如不同，說出它們的區(qū)別。
　　
　　2，在使用動(dòng)態(tài)地址翻譯時(shí)，要使用ACL，請問標(biāo)準(zhǔn)的和擴(kuò)展的ACL都可以使用嗎？
　　
　　3，在配置NAT后，所有數(shù)據(jù)包的交換可以走fast-switch嗎？
　　
　　4，假如NAT router沒有在NAT表格中查詢到NAT地址影射，它如何處理發(fā)自內(nèi)部主機(jī)的數(shù)據(jù)包？
　　
　　5，NAT操作時(shí)，由外到內(nèi)和由外到內(nèi)的翻譯是否相同？
　　
　　6，我們是否可以將我們的WEB SERVER放置到配置了NAT的router后的LAN里？
　　
　　7，使用simply entry的是NAT的哪種操作方式？
　　
　　8，在哪種操作中更換IP數(shù)據(jù)包的目的地址，又在實(shí)現(xiàn)什么功能時(shí)更改源地址？

上一篇：網(wǎng)絡(luò)管理員入門 VPN基礎(chǔ)知識(shí)詳解一

下一篇：教你輕松獲取批量網(wǎng)卡MAC地址(圖)